Spring Security如何解析JWT，并自行构造SecurityContex

Spring Security 通过一个精心设计的流程将 JWT 令牌转化为可识别的用户认证信息。其核心在于一个自定义的认证过滤器 ，它负责拦截请求、提取并验证 JWT，最终将认证信息存入 SecurityContext，供后续的授权和业务逻辑使用。

下面这张流程图清晰地展示了这一完整过程，包括关键角色和核心步骤：

🔧 核心组件详解

这个流程依赖于几个关键组件，它们各司其职，共同协作：

JWT认证过滤器 (JwtAuthenticationFilter) ：这是整个机制的"发动机"。它通常继承自 OncePerRequestFilter，确保每个请求只被处理一次。其核心方法 doFilterInternal完成了流程图中的主要逻辑：提取令牌、验证、构建认证对象并设置上下文。
SecurityContextHolder ：这是Spring Security的"会话中心"。它使用 ThreadLocal策略，将 SecurityContext（内含 Authentication对象）与当前处理请求的线程绑定。一旦设置，在本次请求的后续任何环节（如Controller、Service）都能通过 SecurityContextHolder.getContext().getAuthentication()获取到当前用户信息。
Authentication 对象 ：这是用户的"身份证"。通常使用 UsernamePasswordAuthenticationToken来创建，其中包含了主体（如用户名）、凭证（JWT模式下通常为null）和权限列表。将这个对象设置到安全上下文中，就等于告诉Spring Security"当前用户已登录"。

💻 代码实现关键步骤

以下是实现这一流程的核心代码环节：

1. 配置无状态会话管理

在安全配置类中，必须声明应用为无状态，这意味着Spring Security不会创建或使用HttpSession。

less 复制代码

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .sessionManagement(session -> session
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS) // 关键配置
            )
            // ... 其他配置，如授权规则
            .addFilterBefore(jwtAuthenticationFilter, UsernamePasswordAuthenticationFilter.class); // 将自定义过滤器加入链中
        return http.build();
    }
}

2. 实现JWT认证过滤器

过滤器的逻辑是核心，其伪代码如下：

scala 复制代码

@Component
public class JwtAuthenticationFilter extends OncePerRequestFilter {
    @Autowired
    private JwtUtil jwtUtil; // 自定义JWT工具类
    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) throws IOException, ServletException {
        // 1. 从请求头（如Authorization: Bearer <token>）提取JWT
        String jwt = extractJwtFromRequest(request);

        if (jwt != null && jwtUtil.validateToken(jwt)) {
            // 2. 从有效JWT中解析出用户名
            String username = jwtUtil.extractUsername(jwt);
            // 3. 根据用户名加载用户详细信息（包括权限）
            UserDetails userDetails = userDetailsService.loadUserByUsername(username);
            // 4. 创建Authentication对象
            Authentication authentication = new UsernamePasswordAuthenticationToken(userDetails, null, userDetails.getAuthorities());
            // 5. 将Authentication设置到SecurityContext中
            SecurityContextHolder.getContext().setAuthentication(authentication);
        }
        // 6. 继续执行过滤器链
        chain.doFilter(request, response);
    }
}

⚠️ 注意事项与最佳实践

确保过滤器顺序 ：自定义的JWT过滤器必须添加到 UsernamePasswordAuthenticationFilter之前，这样才能在默认的表单登录逻辑介入之前完成JWT认证。
妥善处理异常：在过滤器中，JWT解析或验证失败时应记录日志，但通常不应直接抛出异常中断流程，而是直接放行。请求会因后续没有有效的认证信息而被拒绝，这样可以保证系统的健壮性。
无状态与CSRF防护：由于采用无状态认证，通常会禁用CSRF（跨站请求伪造）防护，因为CSRF防护通常依赖于Session状态。
权限信息存储 ：可以考虑将用户角色或权限列表直接作为自定义声明（Claim）存入JWT的Payload中。这样在过滤器中可以直接从JWT解析出权限，无需每次都查询数据库或 UserDetailsService，可以提升性能。