Spring Security 深度解读：JWT 无状态认证与权限控制实现细节
实际场景引入
把安全体系想象成一次机场安检。旅客代表请求，请求先经过安检口的验证（身份认证），再进入安检通道的权限检查（授权）。当系统采用无状态的 JWT 方案时，服务端不再维护会话，而是将身份信息打包成一个令牌，随每次请求一起出现在 Authorization 头中。就像旅客拿着机票和护照，出示给安检人员即可进入候机楼，无需现场维护登机牌状态。这样的好处是认证跨系统、跨服务的开箱即用，但也带来令牌管理与安全性的新挑战。
- 旅客请求（Request）→ 安检口（过滤器链）→ 核验凭证（Authentication）→ 安全上下文（SecurityContext）→ 资源访问（Authorization）
要点概览
- 认证（Authentication）与授权（Authorization）是安全体系的两端，缺一不可。
- JWT 实现无状态认证，服务端无需维护会话状态，响应性能更好，但需要妥善管理密钥、令牌有效期与刷新策略。
- 安全过滤链（SecurityFilterChain）决定请求的处理路径与拦截策略；自定义过滤器是最灵活的扩展点。
深度解析点 1：认证流程的实现要点
认证流程核心在于：接收凭证、验签、构建 Authentication 对象、将其放入 SecurityContext。
典型配置要点（SecurityFilterChain、UserDetailsService、PasswordEncoder）如下：
java
// SecurityConfig.java
@Configuration
@EnableWebSecurity
@EnableMethodSecurity(prePostEnabled = true)
public class SecurityConfig {
@Bean
SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
http.csrf().disable()
.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
.authorizeHttpRequests((auth) -> auth
.requestMatchers("/public/**", "/auth/**").permitAll()
.anyRequest().authenticated()
);
http.addFilterBefore(jwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);
return http.build();
}
@Bean
public JwtAuthenticationFilter jwtAuthenticationFilter() {
return new JwtAuthenticationFilter();
}
@Bean
public PasswordEncoder passwordEncoder() {
return new BCryptPasswordEncoder();
}
@Bean
public UserDetailsService userDetailsService() {
UserDetails user = User.builder()
.username("alice")
.password(passwordEncoder().encode("password"))
.roles("USER")
.build();
return new InMemoryUserDetailsManager(user);
}
}- 说明：AuthenticationManager 在 Spring Security 5.7+ 的编排下可由框架自动装配，这里通过 UserDetailsService 提供用户信息，PasswordEncoder 进行密码校验。
深度解析点 2：授权策略与方法级控制
授权决定了认证用户对资源的实际访问权限。
- URL 基于角色的控制：
- /public/** 公开；其他接口需要认证；用户角色决定可访问的资源。
- 方法级控制：@PreAuthorize、@PostAuthorize 等注解对方法执行前后进行授权判断。
示例：
java
@RestController
@RequestMapping("/api")
public class DemoController {
@GetMapping("/public/hello")
public String publicHello() {
return "hello public";
}
@GetMapping("/secure/hello")
@PreAuthorize("hasRole('USER')")
public String securedHello() {
return "hello secured user";
}
}深度解析点 3：无状态认证与 JWT 的实现要点
实现无状态的核心在于令牌（JWT）的生成、传递与校验。
- JwtService：负责生成、解析和校验 Token。
- JwtAuthenticationFilter：从请求头中提取 Token，校验通过后构建 Authentication，并放入 SecurityContext。
- 安全配置中开启 STATELESS，并将自定义过滤器加入链中。
java
@Service
public class JwtService {
private final String SECRET_KEY = "changeThisSecretKeyForDemo";
public String generateToken(UserDetails userDetails) {
return Jwts.builder()
.setSubject(userDetails.getUsername())
.setIssuedAt(new Date())
.setExpiration(new Date(System.currentTimeMillis() + 1000L * 60 * 60))
.signWith(SignatureAlgorithm.HS256, SECRET_KEY.getBytes())
.compact();
}
public String extractUsername(String token) {
return Jwts.parser().setSigningKey(SECRET_KEY.getBytes())
.parseClaimsJws(token).getBody().getSubject();
}
public boolean validateToken(String token, UserDetails userDetails) {
final String username = extractUsername(token);
return (username.equals(userDetails.getUsername()) && !isTokenExpired(token));
}
private boolean isTokenExpired(String token) {
final Date expiration = Jwts.parser().setSigningKey(SECRET_KEY.getBytes())
.parseClaimsJws(token).getBody().getExpiration();
return expiration.before(new Date());
}
}
java
public class JwtAuthenticationFilter extends OncePerRequestFilter {
private final JwtService jwtService;
private final UserDetailsService userDetailsService;
@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain)
throws ServletException, IOException {
final String authHeader = request.getHeader("Authorization");
final String jwt;
final String username;
if (authHeader == null || !authHeader.startsWith("Bearer ")) {
chain.doFilter(request, response);
return;
}
jwt = authHeader.substring(7);
username = jwtService.extractUsername(jwt);
if (username != null && SecurityContextHolder.getContext().getAuthentication() == null) {
UserDetails userDetails = this.userDetailsService.loadUserByUsername(username);
if (jwtService.validateToken(jwt, userDetails)) {
UsernamePasswordAuthenticationToken authToken =
new UsernamePasswordAuthenticationToken(userDetails, null, userDetails.getAuthorities());
authToken.setDetails(new WebAuthenticationDetailsSource().buildDetails(request));
SecurityContextHolder.getContext().setAuthentication(authToken);
}
}
chain.doFilter(request, response);
}
}
java
@RestController
@RequestMapping("/auth")
public class AuthController {
private final AuthenticationManager authenticationManager;
private final JwtService jwtService;
@PostMapping("/login")
public ResponseEntity<?> login(@RequestBody AuthRequest req) {
Authentication authentication = authenticationManager.authenticate(
new UsernamePasswordAuthenticationToken(req.getUsername(), req.getPassword()));
UserDetails user = (UserDetails) authentication.getPrincipal();
String token = jwtService.generateToken(user);
return ResponseEntity.ok(new AuthResponse(token));
}
}
public class AuthRequest { private String username; private String password; /* getters/setters */ }
public class AuthResponse { private String token; public AuthResponse(String token){ this.token = token; } public String getToken(){ return token; } }- 说明：要点包括 SECRET_KEY 的保护、Token 的有效期管理、以及 CSRF 在无状态场景下的处理。
小结要点
- 认证和授权是安全体系的两端，JWT 提供无状态的高性能特性，同时也带来令牌管理的挑战。
- 安全配置要清晰区分公开接口与受保护资源，推荐在网关或前置服务实现统一鉴权入口。
- 方法级别的 @PreAuthorize、@PostAuthorize 可以对关键业务方法进行细粒度控制。
结语
构建可扩展的安全体系需要对 Spring Security 的工作流、过滤链以及无状态认证有清晰认识与正确实践。上述路径给出了一条从认证、授权到 JWT 校验的完整实现思路，便于在实际项目中落地落地。