Springboot整合JWT

基哥的奋斗历程2023-09-01 18:49

1. 应用场景

前后端分离项目保持登录状态。

问题：ajax请求如何跨域，将无法携带jsessionid，这样会导致服务器端的session不可用。如何解决？

后端：

登录接口在验证过用户密码后，将用户的身份信息转换成一个特殊格式的字符串（token），放入响应体（或响应头）。

前端：

浏览器收到登录成功响应后，保存该token在本地，当下次发送请求时，取出该token并携带在请求头（或请求体中）。

后端：

使用filter或者拦截器校验请求中的token是否有效，如果有效就代表用户已登录，放行。

2. 对于token的需求

(1) 可以自定义信息（用户身份、权限信息）

(2) 需要使得服务器端可以进行有效性校验（即token只能由服务器端颁发，不能由其他第三方伪造）
(3) 需要能设置有效期

3. JWT的数据结构

https://jwt.io/ 官网地址

(1)HEADER //头

(2)PAYLOAD //体

(3)SIGNATURE //签名

4. 生成JWT

HMACSHA256(

base64UrlEncode(header) + "." +base64UrlEncode(payload),
your-256-bit-secret
)
(1)计算header的base64编码
(2)计算payload的base64编码
(3)计算签名

5. 校验token是否合法

原理：重新计算token的sign，与token中的sign进行比对，一致则合法。

6. 校验token有效期

原理，在jwt的payload中加入过期日期，然后在校验token时检查是否过期

这是一个测试类需要导入Hutool工具类

java 复制代码 
package com.qf.fmall.jwt;

import cn.hutool.jwt.JWT;

import java.io.UnsupportedEncodingException;
import java.util.Date;
import java.util.HashMap;

public class TestJwt {

    public static final String secretkey="qfsyjava2302";

    public static void main(String[] args) throws UnsupportedEncodingException, InterruptedException {

        String token1 = createToken();
        //验证token的合法性
//        String  token="eyJoZWFkZXIwMSI6InRlc3QxMjMiLCJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJsdWZmeSIsImlhdCI6MTY5MzIwNjc2NiwicGhvbmUiOiIxMzg5OTk5ODg4OCIsInNleCI6MSwiYWdlIjoxOX0.UY3v3twt30GAN6iCOlTTZwA0YpwMBFDg3JyWgxp1_7U";
        Thread.sleep(3000);
        //使用hutool工具类校验Jwt
        boolean validate = JWT.of(token1)//把token字符串传入，用来构建jwt对象
                .setKey(secretkey.getBytes("utf-8"))//传入计算签名要使用的密钥
//                .verify() 只验证token值，不验证时间
                .validate(3l);//校验jwt是否合法，本质上就是重算签名，并且比较签名是否一致。
                //这里的leeway是秒，就是在原本的设定的失效时间，容许容忍几秒
        System.out.println(validate);
    }

public  static  String  createToken() throws UnsupportedEncodingException {
    //利用hutool工具类生成Jwt

    HashMap<String, Object> payloadMap = new HashMap<>();
    payloadMap.put("age",19);
    payloadMap.put("sex",1);
    payloadMap.put("phone","13899998888");

    HashMap<String, Object> headMap = new HashMap<>();
    headMap.put("header01","test123");
    String token = JWT.create()
            .addHeaders(headMap) //放入自定义Jwt  头
            .setSubject("luffy")//在 jwt 的payload中放入 sub（代表用户身份信息）
            .setExpiresAt(new Date(System.currentTimeMillis()+1000*3))// 在jwt的payload中放入 jwt 失效时间
            .setIssuedAt(new Date()) //在 jwt 的payload 中 放入 jwt的签发时间
            .addPayloads(payloadMap)  // 在jwt 的payload 中放入其他自定义内容
            .setKey(secretkey.getBytes("utf-8")) //放入计算jwt 需要的密钥字符串
            .sign();
    System.out.println(token);
    return token;
}


}

7. 开启shiro登录校验

1.用拦截器的方式实现

实现拦截器接口

java 复制代码 
package com.qf.fmall.interceptor;

import cn.hutool.jwt.JWT;
import lombok.extern.slf4j.Slf4j;
import org.springframework.stereotype.Component;
import org.springframework.web.servlet.HandlerInterceptor;

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

@Component
@Slf4j
public class JwtInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
      //0.判断如果是浏览器发送的Option 请求，直接放行
        String method = request.getMethod();
        if (method.equals("OPTIONS")){
            return true;
        }


        //1.获取 请求头中的 token
        String token= request.getHeader("token");

        //校验jwttoken
        if (token==null){
            log.info("没带token，拒绝访问");
            return false;
        }
        boolean validate = JWT.of(token)
                .setKey("qfsyjava2302".getBytes("utf-8"))
                .validate(0);

        return validate;

    }
}

注册拦截器

java 复制代码 
package com.qf.fmall.config;

import com.qf.fmall.interceptor.JwtInterceptor;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;

@Configuration
public class IntercepterConfig implements WebMvcConfigurer {
    @Autowired
    JwtInterceptor jwtInterceptor;

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(jwtInterceptor)
                .addPathPatterns("/index/indeximg");
    }
}

2.整合shiro过滤器

1.前端登录方法

java 复制代码 
 @GetMapping("/login")
    @CrossOrigin
    public ResultVo login(@RequestParam("username") String username,@RequestParam("password") String password) throws JsonProcessingException {
        Subject subject = SecurityUtils.getSubject();
        UsernamePasswordToken token =new UsernamePasswordToken(username,password);

        try {
            subject.login(token);
            Users principal = (Users) subject.getPrincipal();

            //当用户登录成功之后，创建jwt
            //把principal---> json
            ObjectMapper mapper = new ObjectMapper();//获取springboot内置的json转换对象
            String userjson = mapper.writeValueAsString(principal);

            String jwt = JWT.create()
                    .setSubject(userjson)
                    .setExpiresAt(new Date(System.currentTimeMillis() + 1000 * 60 * 30))
                    .setIssuedAt(new Date())
                    .setKey("qfsyjava2302".getBytes())
                    .sign();


            return ResultVo.vo(10000,jwt,principal);
        } catch (AuthenticationException e) {
            e.printStackTrace();
            return ResultVo.vo(112300,"failed",null);
        }
    }

2.后端验证过滤器

java 复制代码 
package com.qf.fmall.filter;

import cn.hutool.jwt.JWT;
import lombok.extern.slf4j.Slf4j;
import org.apache.shiro.web.filter.AccessControlFilter;
import org.springframework.stereotype.Component;

import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;

@Component("jwt")
@Slf4j
public class JwtFilter extends AccessControlFilter {

    /**
     * 用于验证访问受保护的方法
     * @param servletRequest
     * @param servletResponse
     * @param o
     * @return
     * @throws Exception
     */
    @Override
    protected boolean isAccessAllowed(ServletRequest servletRequest, ServletResponse servletResponse, Object o) throws Exception {

        HttpServletRequest request = (HttpServletRequest) servletRequest;
        //0.判断如果是浏览器发送的Option 请求，直接放行
        String method = request.getMethod();
        if (method.equals("OPTIONS")){
            return true;
        }


        //1.获取 请求头中的 token
        String token= request.getHeader("token");

        //校验jwttoken
        if (token==null){
            log.info("没带token，拒绝访问");
            return false;
        }
        boolean validate = JWT.of(token)
                .setKey("qfsyjava2302".getBytes("utf-8"))
                .validate(0);

        return validate;

    }

    /**
     * onAccessDenied 方法是Shiro框架中的一个回调方法，当主体（用户）被拒绝访问特定资源时会被调用。该方法不返回布尔值。
     * 当主体尝试访问受保护的资源但权限不足或未认证时，Shiro会触发 onAccessDenied 方法。通常，它用于处理被拒绝访问的情况，例如将用户重定向到错误页面或返回错误消息。
     * 因此，说 onAccessDenied 方法返回 true 是没有意义的。该方法的目的是处理访问被拒绝的情况，而不是返回布尔值。
     * @param servletRequest
     * @param servletResponse
     * @return
     * @throws Exception
     */
    @Override
    protected boolean onAccessDenied(ServletRequest servletRequest, ServletResponse servletResponse) throws Exception {
        return false;
    }
}

3.让请求走shiro过滤器

在ShiroConfig类下写

java 复制代码 
    //配置Shiro过滤器链
    @Bean
    public ShiroFilterChainDefinition shiroFilterChainDefinition(){
        DefaultShiroFilterChainDefinition chainDefinition = new DefaultShiroFilterChainDefinition();
        chainDefinition.addPathDefinition("/user/login**","anon");
        chainDefinition.addPathDefinition("/user/regist**","anon");
        chainDefinition.addPathDefinition("/error","anon");

      //让/index/indeximg 由自定义的shiro filter 进行处理， "jwt" 这个值是IOC容器中filter的名字
        chainDefinition.addPathDefinition("/index/indeximg","jwt");
//        chainDefinition.addPathDefinition("/**","authc");
        return chainDefinition;

    }

但是shiro不仅会在shiro过滤器链下注册此过滤器，还会在springmvc过滤器链上注册

所以我们，还要让springmvc上的过滤器链上的此过滤器失效

4.让全局过滤器链上的JwtFilter失效

java 复制代码 
package com.qf.fmall.config;

import com.qf.fmall.filter.JwtFilter;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.boot.web.servlet.FilterRegistrationBean;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

/**
 * 注意，为了不让 自定义filter也被中注册到全局FitlterChain中，
 * 需要添加如下配置类
 */
@Configuration
public class FilterConfig {

    @Autowired
    JwtFilter jwtFilter;

    @Bean
    public FilterRegistrationBean<JwtFilter> jwtFilterFilterRegistrationBean(){
        FilterRegistrationBean<JwtFilter> registrationBean = new FilterRegistrationBean<>();

        //要注册的filter的对象
        registrationBean.setFilter(jwtFilter);

        //让当前filter不用注册到，全局过滤器链上
        registrationBean.setEnabled(false);
   
        return registrationBean;

    }


}
相关推荐
Cikiss8 分钟前
微服务实战——SpringCache 整合 Redis
java·redis·后端·微服务
wxin_VXbishe9 分钟前
springboot合肥师范学院实习实训管理系统-计算机毕业设计源码31290
java·spring boot·python·spring·servlet·django·php
Cikiss9 分钟前
微服务实战——平台属性
java·数据库·后端·微服务
jk_10116 分钟前
MATLAB中decomposition函数用法
开发语言·算法·matlab
weixin_4640780716 分钟前
C#串口温度读取
开发语言·c#
无敌の星仔18 分钟前
一个月学会Java 第2天 认识类与对象
java·开发语言
OEC小胖胖23 分钟前
Spring Boot + MyBatis 项目中常用注解详解（万字长篇解读）
java·spring boot·后端·spring·mybatis·web
豆豆41 分钟前
为什么用PageAdmin CMS建设网站？
服务器·开发语言·前端·php·软件构建
2401_857617621 小时前
SpringBoot校园资料平台：开发与部署指南
java·spring boot·后端
quokka561 小时前
Springboot 整合 logback 日志框架
java·spring boot·logback
热门推荐
01分享几个惊艳的 Three.js 个人站点02【经验分享】Ubuntu22.04安装微信(linux官方版)032024年高教社杯数学建模国赛C题超详细解题思路分析04组基轨迹建模 GBTM的介绍与实现（Stata 或 R）05安卓系列机型永久去除data分区加密 详细步骤解析06【2024数模国赛赛题思路公开】国赛B题思路丨附可运行代码丨无偿自提07springer 在线投稿编译踩坑08Ubuntu24.04安装中文输入法09【2024高教社杯全国大学生数学建模竞赛】B题 生产过程中的决策问题——解题思路 代码 论文10CTF网络安全大赛简单的web抓包题目：HEADache