Spring Boot 3.4.3 和 Spring Security 6.4.2 结合 JWT 实现用户登录

CopyLower2025-04-13 10:06

在现代 Web 应用中，用户认证和授权是保障系统安全的核心环节。传统的 Session 认证方式在分布式系统或前后端分离场景下存在局限，而 JWT（JSON Web Token）作为一种无状态的认证机制，凭借其轻量、可扩展和跨服务的特性，成为主流选择。Spring Boot 3.4.3 结合 Spring Security 6.4.2 和 JWT，可以实现高效、安全的用户登录认证。本文将详细介绍如何在 Spring Boot 3.4.3 中集成 Spring Security 和 JWT，实现用户登录功能，并附上完整代码示例，助你在2025年的项目中快速落地认证方案。

1. JWT 和 Spring Security 简介
1.1 什么是 JWT？

JWT 是一种基于 JSON 的开放标准（RFC 7519），用于在各方之间安全传输信息。它由三部分组成：Header（头）、Payload（负载）和 Signature（签名），通过.分隔。JWT 的无状态特性使其非常适合分布式系统。

1.2 Spring Security 的作用

Spring Security 是 Spring 生态中的安全框架，提供认证、授权和防护功能。Spring Security 6.4.2 支持 Lambda 风格的配置，与 Spring Boot 3.4.3 无缝集成。

1.3 本文目标
  • 配置 Spring Security 和 JWT。
  • 实现用户登录并生成 Token。
  • 验证 Token 并保护接口。
2. 项目实战

以下是基于 Spring Boot 3.4.3 和 Spring Security 6.4.2 结合 JWT 实现用户登录的完整步骤。

2.1 添加 Maven 依赖

在 pom.xml 中添加必要的依赖：

xml 复制代码 
<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>
    <parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>3.4.3</version>
    </parent>
    <groupId>cn.itbeien</groupId>
    <artifactId>springboot-jwt</artifactId>
    <properties>
        <maven.compiler.source>17</maven.compiler.source>
        <maven.compiler.target>17</maven.compiler.target>
        <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>
    </properties>
    <dependencies>
        <!-- Spring Boot Web -->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>
        <!-- Spring Security -->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>
        <!-- JWT -->
        <dependency>
            <groupId>io.jsonwebtoken</groupId>
            <artifactId>jjwt-api</artifactId>
            <version>0.12.5</version>
        </dependency>
        <dependency>
            <groupId>io.jsonwebtoken</groupId>
            <artifactId>jjwt-impl</artifactId>
            <version>0.12.5</version>
        </dependency>
        <dependency>
            <groupId>io.jsonwebtoken</groupId>
            <artifactId>jjwt-jackson</artifactId>
            <version>0.12.5</version>
        </dependency>
    </dependencies>
</project>

说明：

  • spring-boot-starter-security：提供 Spring Security 支持。
  • jjwt-*：JWT 的核心库。
2.2 配置 JWT 工具类

创建一个工具类生成和验证 JWT：

java 复制代码 
package cn.itbeien.util;

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.security.Keys;

import javax.crypto.SecretKey;
import java.util.Date;


public class JwtUtil {

    private static final String SECRET_KEY = "your-256-bit-secret-key-here-1234567890"; // 至少 256 位
    private static final long EXPIRATION_TIME = 1000 * 60 * 60; // 1小时

    private static SecretKey getSecretKey() {
        return Keys.hmacShaKeyFor(SECRET_KEY.getBytes());
    }

    public static String generateToken(String username) {
        return Jwts.builder()
                .subject(username)
                .issuedAt(new Date())
                .expiration(new Date(System.currentTimeMillis() + EXPIRATION_TIME))
                .signWith(getSecretKey())
                .compact();
    }

    public static String getUsernameFromToken(String token) {
        Claims claims = Jwts.parser()
                .verifyWith(getSecretKey())
                .build()
                .parseSignedClaims(token)
                .getPayload();
        return claims.getSubject();
    }

    public static boolean validateToken(String token) {
        try {
            Jwts.parser().verifyWith(getSecretKey()).build().parseSignedClaims(token);
            return true;
        } catch (Exception e) {
            return false;
        }
    }
}

说明：

  • SECRET_KEY：用于签名，需足够长且安全。
  • generateToken：生成 JWT。
  • getUsernameFromToken 和 validateToken：解析和验证 Token。
2.3 配置 Spring Security

创建一个 Security 配置类：

java 复制代码 
package cn.itbeien.config;

import cn.itbeien.filter.JwtAuthenticationFilter;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.http.SessionCreationPolicy;
import org.springframework.security.web.SecurityFilterChain;
import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;


@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
                .csrf(csrf -> csrf.disable()) // 禁用 CSRF
                .sessionManagement(session -> session.sessionCreationPolicy(SessionCreationPolicy.STATELESS)) // 无状态
                .authorizeHttpRequests(auth -> auth
                        .requestMatchers("/api/login").permitAll() // 登录接口公开
                        .anyRequest().authenticated() // 其他请求需认证
                )
                .addFilterBefore(new JwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class); // 添加 JWT 过滤器

        return http.build();
    }
}
2.4 创建 JWT 过滤器

实现 Token 验证逻辑：

java 复制代码 
package cn.itbeien.filter;

import cn.itbeien.util.JwtUtil;
import jakarta.servlet.FilterChain;
import jakarta.servlet.ServletException;
import jakarta.servlet.http.HttpServletRequest;
import jakarta.servlet.http.HttpServletResponse;
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.web.filter.OncePerRequestFilter;

import java.io.IOException;


public class JwtAuthenticationFilter extends OncePerRequestFilter {

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain)
            throws ServletException, IOException {
        String header = request.getHeader("Authorization");
        if (header != null && header.startsWith("Bearer ")) {
            String token = header.substring(7);
            if (JwtUtil.validateToken(token)) {
                String username = JwtUtil.getUsernameFromToken(token);
                UsernamePasswordAuthenticationToken auth = new UsernamePasswordAuthenticationToken(username, null, null);
                SecurityContextHolder.getContext().setAuthentication(auth);
            }
        }
        chain.doFilter(request, response);
    }
}
2.5 创建用户服务

模拟用户认证逻辑：

java 复制代码 
package cn.itbeien.service;

import org.springframework.stereotype.Service;


@Service
public class UserService {

    public boolean authenticate(String username, String password) {
        // 模拟数据库验证
        return "admin".equals(username) && "123456".equals(password);
    }
}
2.6 创建登录控制器

实现登录并返回 JWT：

java 复制代码 
package cn.itbeien.controller;

import cn.itbeien.service.UserService;
import cn.itbeien.util.JwtUtil;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.http.ResponseEntity;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RequestParam;
import org.springframework.web.bind.annotation.RestController;


@RestController
@RequestMapping("/api")
public class LoginController {

    @Autowired
    private UserService userService;

    @PostMapping("/login")
    public ResponseEntity<String> login(@RequestParam String username, @RequestParam String password) {
        if (userService.authenticate(username, password)) {
            String token = JwtUtil.generateToken(username);
            return ResponseEntity.ok(token);
        }
        return ResponseEntity.status(401).body("登录失败");
    }

    @PostMapping("/protected")
    public String protectedEndpoint() {
        return "这是一个受保护的接口";
    }
}
2.7 启动与测试
  1. 启动 Spring Boot 应用。
  2. 测试登录：POST http://localhost:8080/api/login?username=admin&password=123456
    • 成功返回 JWT Token。
  3. 测试受保护接口：
    • 请求 POST http://localhost:8080/api/protected，Header 中添加 Authorization: Bearer <token>。
    • 未携带 Token 或 Token 无效，返回 403。
3. 进阶功能（可选）

  1. 自定义权限

    为用户添加角色：

    java 复制代码 
    List<SimpleGrantedAuthority> authorities = List.of(new SimpleGrantedAuthority("ROLE_USER"));
UsernamePasswordAuthenticationToken auth = new UsernamePasswordAuthenticationToken(username, null, authorities);

  2. Token 刷新

    添加刷新 Token 接口：

    java 复制代码 
    @PostMapping("/refresh")
public ResponseEntity<String> refreshToken(@RequestHeader("Authorization") String token) {
    if (JwtUtil.validateToken(token)) {
        String username = JwtUtil.getUsernameFromToken(token);
        return ResponseEntity.ok(JwtUtil.generateToken(username));
    }
    return ResponseEntity.status(401).body("无效 Token");
}

  3. 数据库集成

    使用 MySQL 存储用户信息（结合 MyBatis 或 JPA）。

4. 总结

Spring Boot 3.4.3 和 Spring Security 6.4.2 结合 JWT，提供了一种现代化、无状态的用户认证方案。本文从依赖配置到登录实现，覆盖了核心步骤。

相关推荐
VX:Fegn089513 小时前
计算机毕业设计|基于ssm + vue超市管理系统(源码+数据库+文档)
前端·数据库·vue.js·spring boot·后端·课程设计
Mr.朱鹏14 小时前
Nginx路由转发案例实战
java·运维·spring boot·nginx·spring·intellij-idea·jetty
VX:Fegn089515 小时前
计算机毕业设计|基于springboot + vue酒店管理系统(源码+数据库+文档)
vue.js·spring boot·课程设计
代码丰17 小时前
SpringAI+RAG向量库+知识图谱+多模型路由+Docker打造SmartHR智能招聘助手
人工智能·spring·知识图谱
Java天梯之路17 小时前
Spring Boot 钩子全集实战（七）：BeanFactoryPostProcessor详解
java·spring boot·后端
wr20051418 小时前
第二次作业，渗透
java·后端·spring
短剑重铸之日18 小时前
《SpringCloud实用版》生产部署：Docker + Kubernetes + GraalVM 原生镜像 完整方案
后端·spring cloud·docker·kubernetes·graalvm
爬山算法19 小时前
Hibernate（67）如何在云环境中使用Hibernate？
java·后端·hibernate
女王大人万岁19 小时前
Go标准库 io与os库详解
服务器·开发语言·后端·golang
露天赏雪19 小时前
Java 高并发编程实战：从线程池到分布式锁，解决生产环境并发问题
java·开发语言·spring boot·分布式·后端·mysql
热门推荐
01GitHub 镜像站点02Clawdbot 中文汉化版 接入微信、飞书032026数学建模美赛题目特点与选题建议，常用四大模型汇总04OpenCode 入门教程：介绍 · 安装 · 配置第三方 API (如 Claude)05一种新的LCA算法06Claude Code Skills 实用使用手册07零门槛部署本地 AI 助手：Clawdbot/Meltbot 部署深度保姆级教程08在Trae中使用Pencil MCP09【网络安全测试】Burp Suite工具使用说明、配置及常见问题（有关必回）10如何做一个网站？