<!-- JWT依賴 -->
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-api</artifactId>
    <version>0.11.5</version>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-impl</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-jackson</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>

<!-- Redis依賴（分布式必選） -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-data-redis</artifactId>
</dependency>

# JWT配置
jwt:
  secret: your-secret-key-32bytes-long-12345678 # 密鑰必須足夠長（建議32位），放配置中心，不要硬編碼
  expire: 604800000 # 7天過期（單位：毫秒）
  refresh-expire: 86400000 # 1天內(nèi)活躍自動(dòng)續(xù)期（單位：毫秒）

# Cookie配置
cookie:
  name: auto_login_token # Cookie名稱
  domain: localhost # 域名（生產(chǎn)環(huán)境填實(shí)際域名，如xxx.com）
  path: / # 作用路徑
  max-age: 604800 # 7天（單位：秒）
  http-only: true # 僅HTTP訪問，禁止JS操作（防XSS）
  secure: false # 生產(chǎn)環(huán)境開啟HTTPS后設(shè)為true（僅HTTPS傳輸）
  same-site: Lax # 防CSRF攻擊

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.security.Keys;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.stereotype.Component;

import javax.crypto.SecretKey;
import java.util.Date;
import java.util.Map;

@Component
public class JwtUtil {
    // 注入JWT密鑰和過期時(shí)間
    @Value("${jwt.secret}")
    private String secret;
    @Value("${jwt.expire}")
    private long expire;

    // 生成JWT Token（傳入用戶信息，如userId、username）
    public String generateToken(Map<String, Object> claims) {
        // 密鑰編碼（必須和配置的密鑰長度匹配）
        SecretKey key = Keys.hmacShaKeyFor(secret.getBytes());
        return Jwts.builder()
                .setClaims(claims) // 自定義載荷（存放用戶信息）
                .setIssuedAt(new Date()) // 簽發(fā)時(shí)間
                .setExpiration(new Date(System.currentTimeMillis() + expire)) // 過期時(shí)間
                .signWith(key) // 簽名
                .compact();
    }

    // 解析Token，獲取載荷信息
    public Claims parseToken(String token) {
        SecretKey key = Keys.hmacShaKeyFor(secret.getBytes());
        return Jwts.parserBuilder()
                .setSigningKey(key)
                .build()
                .parseClaimsJws(token)
                .getBody();
    }

    // 驗(yàn)證Token是否合法（未過期+簽名正確）
    public boolean validateToken(String token) {
        try {
            Claims claims = parseToken(token);
            // 檢查是否過期
            return !claims.getExpiration().before(new Date());
        } catch (Exception e) {
            // 解析失?。ê灻e(cuò)誤、過期、格式錯(cuò)誤）都返回false
            return false;
        }
    }
}

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RequestBody;
import org.springframework.web.bind.annotation.RestController;

import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServletResponse;
import java.util.HashMap;
import java.util.Map;

@RestController
public class LoginController {
    @Autowired
    private UserService userService; // 自定義用戶服務(wù)（校驗(yàn)賬號(hào)密碼）
    @Autowired
    private JwtUtil jwtUtil;
    @Autowired
    private RedisTemplate<String, Object> redisTemplate; // Redis模板（分布式用）

    // 注入Cookie配置
    @Value("${cookie.name}")
    private String cookieName;
    @Value("${cookie.domain}")
    private String cookieDomain;
    @Value("${cookie.path}")
    private String cookiePath;
    @Value("${cookie.max-age}")
    private int cookieMaxAge;
    @Value("${cookie.http-only}")
    private boolean cookieHttpOnly;
    @Value("${cookie.secure}")
    private boolean cookieSecure;
    @Value("${cookie.same-site}")
    private String cookieSameSite;

    @PostMapping("/login")
    public Result login(@RequestBody LoginDTO loginDTO, HttpServletResponse response) {
        // 1. 校驗(yàn)賬號(hào)密碼（實(shí)際業(yè)務(wù)中要加密校驗(yàn)，如BCrypt）
        User user = userService.verifyUser(loginDTO.getUsername(), loginDTO.getPassword());
        if (user == null) {
            return Result.fail("賬號(hào)或密碼錯(cuò)誤");
        }

        // 2. 生成JWT Token（載荷放userId和username，非敏感信息）
        Map<String, Object> claims = new HashMap<>();
        claims.put("userId", user.getId());
        claims.put("username", user.getUsername());
        String token = jwtUtil.generateToken(claims);

        // 3. （分布式必做）將Token存入Redis（可選，用于黑名單校驗(yàn)）
        // redisTemplate.opsForValue().set("auto_login:blacklist:" + token, user.getId(), jwtUtil.getExpire(), TimeUnit.MILLISECONDS);

        // 4. 生成Cookie，返回給客戶端
        Cookie cookie = new Cookie(cookieName, token);
        cookie.setDomain(cookieDomain);
        cookie.setPath(cookiePath);
        cookie.setMaxAge(cookieMaxAge); // 7天過期
        cookie.setHttpOnly(cookieHttpOnly); // 防XSS
        cookie.setSecure(cookieSecure); // 生產(chǎn)環(huán)境HTTPS開啟
        cookie.setAttribute("SameSite", cookieSameSite); // 防CSRF
        response.addCookie(cookie);

        return Result.success("登錄成功");
    }
}

import io.jsonwebtoken.Claims;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.web.servlet.HandlerInterceptor;

import javax.servlet.http.Cookie;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

public class AutoLoginInterceptor implements HandlerInterceptor {
    @Autowired
    private JwtUtil jwtUtil;
    @Autowired
    private RedisTemplate<String, Object> redisTemplate;

    @Value("${cookie.name}")
    private String cookieName;
    @Value("${jwt.refresh-expire}")
    private long refreshExpire; // 1天內(nèi)活躍自動(dòng)續(xù)期

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        // 1. 跳過登錄接口（避免攔截登錄請(qǐng)求）
        if (request.getRequestURI().contains("/login")) {
            return true;
        }

        // 2. 從Cookie中獲取Token
        String token = null;
        Cookie[] cookies = request.getCookies();
        if (cookies != null) {
            for (Cookie cookie : cookies) {
                if (cookieName.equals(cookie.getName())) {
                    token = cookie.getValue();
                    break;
                }
            }
        }

        // 3. Token不存在，跳轉(zhuǎn)到登錄頁
        if (token == null) {
            response.sendRedirect("/login.html");
            return false;
        }

        // 4. 校驗(yàn)Token合法性（未過期+簽名正確）
        if (!jwtUtil.validateToken(token)) {
            response.sendRedirect("/login.html");
            return false;
        }

        // 5. （分布式必做）校驗(yàn)Token是否在黑名單（用戶退出登錄后失效）
        Boolean isBlack = redisTemplate.hasKey("auto_login:blacklist:" + token);
        if (Boolean.TRUE.equals(isBlack)) {
            response.sendRedirect("/login.html");
            return false;
        }

        // 6. 解析Token，獲取用戶信息，存入Request（后續(xù)業(yè)務(wù)可用）
        Claims claims = jwtUtil.parseToken(token);
        request.setAttribute("userId", claims.get("userId"));
        request.setAttribute("username", claims.get("username"));

        // 7. 活躍續(xù)期：如果Token剩余有效期小于1天，自動(dòng)刷新Token（提升用戶體驗(yàn)）
        long remainTime = claims.getExpiration().getTime() - System.currentTimeMillis();
        if (remainTime < refreshExpire) {
            Map<String, Object> newClaims = new HashMap<>();
            newClaims.put("userId", claims.get("userId"));
            newClaims.put("username", claims.get("username"));
            String newToken = jwtUtil.generateToken(newClaims);

            // 更新Cookie中的Token
            Cookie newCookie = new Cookie(cookieName, newToken);
            newCookie.setDomain(request.getServerName());
            newCookie.setPath("/");
            newCookie.setMaxAge(cookieMaxAge);
            newCookie.setHttpOnly(true);
            newCookie.setSecure(false);
            newCookie.setAttribute("SameSite", "Lax");
            response.addCookie(newCookie);

            // 更新Redis中的Token（分布式必做）
            // redisTemplate.delete("auto_login:blacklist:" + token);
            // redisTemplate.opsForValue().set("auto_login:blacklist:" + newToken, claims.get("userId"), jwtUtil.getExpire(), TimeUnit.MILLISECONDS);
        }

        // 8. 校驗(yàn)通過，放行
        return true;
    }
}

import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;

import javax.annotation.Resource;

@Configuration
public class WebMvcConfig implements WebMvcConfigurer {
    @Resource
    private AutoLoginInterceptor autoLoginInterceptor;

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(autoLoginInterceptor)
                .addPathPatterns("/**") // 攔截所有請(qǐng)求
                .excludePathPatterns("/login", "/login.html", "/static/**"); // 排除登錄頁和靜態(tài)資源
    }
}

@PostMapping("/logout")
public Result logout(HttpServletRequest request, HttpServletResponse response) {
    // 1. 從Cookie中獲取Token
    String token = null;
    Cookie[] cookies = request.getCookies();
    if (cookies != null) {
        for (Cookie cookie : cookies) {
            if (cookieName.equals(cookie.getName())) {
                token = cookie.getValue();
                break;
            }
        }
    }

    // 2. 將Token加入Redis黑名單（分布式必做）
    if (token != null) {
        // 黑名單有效期和Token一致
        redisTemplate.opsForValue().set("auto_login:blacklist:" + token, 
                request.getAttribute("userId"), 
                jwtUtil.getExpire(), 
                TimeUnit.MILLISECONDS);
    }

    // 3. 清除Cookie（設(shè)置maxAge=0）
    Cookie cookie = new Cookie(cookieName, null);
    cookie.setDomain(cookieDomain);
    cookie.setPath(cookiePath);
    cookie.setMaxAge(0); // 立即過期
    cookie.setHttpOnly(true);
    cookie.setSecure(false);
    cookie.setAttribute("SameSite", "Lax");
    response.addCookie(cookie);

    return Result.success("退出成功");
}