springboot整合jwt做api接口权限认证的demo

超、凢脫俗 2023-10-05 14:50 1阅读 0赞

#### Demo介绍： ####

1，使用jwt工具类为使用者生成token

2，后续接口请求需要携带token header信息

3，拦截器进行token合法校验，成功方能获取数据。

demo git地址：[https://github.com/RuofeiSun/springboot-jwt.git][https_github.com_RuofeiSun_springboot-jwt.git]

#### 项目依赖： ####

<dependency>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-starter</artifactId>
            </dependency>
            <dependency>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-starter-web</artifactId>
            </dependency>
            <dependency>
                <groupId>com.auth0</groupId>
                <artifactId>java-jwt</artifactId>
                <version>3.4.0</version>
            </dependency>
            <dependency>
                <groupId>org.apache.logging.log4j</groupId>
                <artifactId>log4j-slf4j-impl</artifactId>
                <version>2.12.0</version>
            </dependency>
            
            <dependency>
                <groupId>org.projectlombok</groupId>
                <artifactId>lombok</artifactId>
                <scope>1.8.4</scope>
            </dependency>
            <dependency>
                <groupId>com.alibaba</groupId>
                <artifactId>fastjson</artifactId>
                <version>1.2.47</version>
            </dependency>

####  ####

#### token生成： ####

public static String createToken(String userId){
            //获取加上过期时间后的时间
            Date nowDate = new Date();
            System.out.println(nowDate);
            Date expiresDate = new Date(System.currentTimeMillis()+expiresTime);
            Map<String,Object> map = new HashMap<String,Object>();
            map.put("alg", "HS256");
            map.put("typ", "JWT");
            String token = JWT.create().withHeader(map)	//请求头
                    .withClaim("iss", "Service")	//签发方
                    .withClaim("aud", "Client")		//接收方
                    .withClaim("userId", null==userId?null:userId) //存储信息，用户ID
                    .withIssuedAt(nowDate)		//当前时间
                    .withExpiresAt(expiresDate)		//过期时间
                    .sign(Algorithm.HMAC256(SECRET));		//私钥
    
            return token;
        }

此处可以看到auth0.jwt中的JWT.create方法来实现了JWT编码的三个部分，

**Header:JWT的头部承载两部分信息：token类型和采用的加密算法。**

**Payload:载荷就是存放有效信息的地方**

> "有效信息包含三个部分  
> 1.标准中注册的声明  
> 2.公共的声明  
> 3.私有的声明
> 
> 标准中注册的声明 (建议但不强制使用) ：
> 
> `iss`: jwt签发者  
> `sub`: 面向的用户(jwt所面向的用户)  
> `aud`: 接收jwt的一方  
> `exp`: 过期时间戳(jwt的过期时间，这个过期时间必须要大于签发时间)  
> `nbf`: 定义在什么时间之前，该jwt都是不可用的.  
> `iat`: jwt的签发时间  
> `jti`: jwt的唯一身份标识，主要用来作为一次性`token`,从而回避重放攻击。
> 
> 公共的声明 ：
> 
> 公共的声明可以添加任何的信息，一般添加用户的相关信息或其他业务需要的必要信息.但不建议添加敏感信息，因为该部分在客户端可解密."
> 
> 私有的声明 ：
> 
> 私有声明是提供者和消费者所共同定义的声明，一般不建议存放敏感信息，因为`base64`是对称解密的，意味着该部分信息可以归类为明文信息。

**Sign:签名（根据本地的私钥加盐的组合加密）**

jwt的第三部分是一个签证信息  
这个部分需要`base64`加密后的`header`和`base64`加密后的`payload`使用`.`连接组成的字符串，然后通过`header`中声明的加密方式进行加盐`secret`组合加密

####  ####

#### token校验： ####

用本地的私钥对token进行验证

/**
         * 验证token合法性
         * @param token
         * @return
         */
        public static boolean verifyToken(String token){
            try{
                JWTVerifier verifier = JWT.require(Algorithm.HMAC256(SECRET)).build();
                verifier.verify(token);
                return true;
            }catch(Exception e){
                log.error(e.getMessage(), e);
                return false;
            }
        }

####  ####

#### 配置拦截器对token进行验证： ####

public class AuthInterceptor implements HandlerInterceptor {
    
        @Override
        public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
            // 从 http 请求头中取出 token
            String token = request.getHeader("token");
            if (StringUtils.isEmpty(token)){
                throw new Exception("无token，请重新登录");
            }
            //jwt验证
            if (!TokenManager.verifyToken(token)){
                throw new Exception("token验证失败");
            }
    
            return true;
        }
    
        @Override
        public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {
    
        }
    
        @Override
        public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {
    
        }
    }

#### 接口测试类: ####

@RestController
    @RequestMapping("/test")
    public class TestController {
    
        /**
         * 登录并获取token
         * @param userName
         * @param passWord
         * @return
         */
        @PostMapping("/login")
        public Object login( String userName, String passWord)throws Exception{
    
            JSONObject jsonObject=new JSONObject();
            // 检验用户是否存在(为了简单，这里假设用户存在，并制造一个uuid假设为用户id)
            String userId = UUID.randomUUID().toString();
            // 生成签名
            String token= TokenManager.createToken(userId);
            Map<String, String> userInfo = new HashMap<>();
            userInfo.put("userId", userId);
            userInfo.put("userName", userName);
            userInfo.put("passWord", passWord);
            jsonObject.put("token", token);
            jsonObject.put("user", userInfo);
            return jsonObject;
        }
    
        /**
         * 该接口需要带签名才能访问
         * @return
         */
        @GetMapping("/getMessage")
        public String getMessage(){
            return "你已通过验证";
        }
    
    }

### 效果： ###

模拟登录获取token

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzMTI5ODc1_size_16_color_FFFFFF_t_70][]

直接访问getMessage不带token

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzMTI5ODc1_size_16_color_FFFFFF_t_70 1][]

带token访问getMessage

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzMTI5ODc1_size_16_color_FFFFFF_t_70 2][]

[https_github.com_RuofeiSun_springboot-jwt.git]: https://github.com/RuofeiSun/springboot-jwt.git
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzMTI5ODc1_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20201201172307632.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzMTI5ODc1,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzMTI5ODc1_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20201201172234551.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzMTI5ODc1,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzMTI5ODc1_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/20201201172416863.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzMTI5ODc1,size_16,color_FFFFFF,t_70