JSON Web Tokens(JWT)与SpringSecurity如何配合使用?

2024-06-23 09:36

本文主要是介绍JSON Web Tokens(JWT)与SpringSecurity如何配合使用?,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

JSON Web Tokens(JWT)是一种开放标准(RFC 7519),用于在网络应用环境间传递声明(claims)。JWT通常用于身份验证和信息交换,因为它们可以通过数字签名来验证。在Spring Security中,JWT可用于管理用户的认证和授权。

如何在Spring Security中使用JWT

要在Spring Security中使用JWT进行认证流程,你需要按照以下步骤进行:

1. 添加JWT库依赖

为了处理JWT,你需要添加一个处理JWT操作的库。一个常见的库是java-jwtjjwt。在Maven的pom.xml文件中添加依赖:

<dependency><groupId>io.jsonwebtoken</groupId><artifactId>jjwt</artifactId><version>0.9.1</version> <!-- 指定你所需的版本 -->
</dependency>
2. 创建JWT工具类

创建一个工具类来生成和解析JWT。这个类将包含创建一个新的JWT令牌和从JWT令牌中解析出用户信息的逻辑。

import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;public class JwtUtil {private static final String SECRET_KEY = "my_secret_key"; // 应使用更安全的密钥,并在配置文件中管理// 生成JWT令牌public static String generateToken(String username) {return Jwts.builder().setSubject(username).signWith(SignatureAlgorithm.HS512, SECRET_KEY).compact();}// 从JWT令牌中解析用户名public static String getUsernameFromToken(String token) {return Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token).getBody().getSubject();}// ... 其他逻辑,如验证令牌有效期
}
3. 创建JWT认证过滤器

创建一个自定义的认证过滤器,用于拦截请求,提取JWT令牌,并验证该令牌:

import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;public class JwtAuthenticationFilter extends UsernamePasswordAuthenticationFilter {@Overrideprotected boolean requiresAuthentication(HttpServletRequest request, HttpServletResponse response) {String jwtToken = resolveToken(request);if (jwtToken != null && JwtUtil.validateToken(jwtToken)) {Authentication auth = getAuthentication(jwtToken);if (auth != null) {SecurityContextHolder.getContext().setAuthentication(auth);}}return false;}private Authentication getAuthentication(String token) {// 使用JwtUtil从令牌中解码出用户名,并创建一个Authentication对象返回// ...}private String resolveToken(HttpServletRequest request) {String bearerToken = request.getHeader("Authorization");if (bearerToken != null && bearerToken.startsWith("Bearer ")) {return bearerToken.substring(7); // 删除"Bearer "前缀}return null;}// ...
}
4. 配置Spring Security

将自定义的JWT认证过滤器与Spring Security集成,并确保其在UsernamePasswordAuthenticationFilter之前运行:

import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {@Overrideprotected void configure(HttpSecurity http) throws Exception {http// ....addFilterBefore(new JwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);}
}
5. 处理认证和授权

在控制器中,使用JWT来执行认证和授权时,你可以使用Spring Security的认证注解(如@PreAuthorize),因为在此时用户的认证信息已经存储在Spring Security的SecurityContext中了。

@RestController
public class MyController {@GetMapping("/protected")@PreAuthorize("isAuthenticated()") // 只有通过JWT认证的用户才能访问public ResponseEntity<String> getProtectedResource() {// ...}
}

总结

整合JWT与Spring Security需要创建用于JWT操作的工具类、自定义过滤器来解析请求中的JWT令牌,并在安全上下文中填充认证信息。然后,你需要将这个过滤器配置到Spring Security中,让其在适当的位置拦截请求。最后,服务端的端点可以根据已经验证的凭据进行保护,使用Spring Security提供的方法级别安全注解来控制访问。

注意在生产环境中,密钥(SECRET_KEY)应该是保密的,并且足够复杂,通常会从安全存储的配置中取得,而不是直接硬编码在代码中。更进一步,你可能还会考虑使用JWT的过期时间,刷新令牌机制和其他的安全策略以确保整体的安全性。

另外,JWT认证的逻辑可以根据个人的应用需求进行扩展与调整,例如,你可能需要处理不同形式的认证(如OAuth2),或者需要支持多种验证方法(将基本身份验证或OAuth2与JWT结合使用)。在不同的场景中,Spring Security提供了足够的灵活性来满足这些需求。

在最佳实践中,我们通常会对所有的JWT处理逻辑进行单元测试和集成测试,确保代码的健壮性和安全性。

Spring Security和JWT的结合使用,为Java应用程序带来了一种强大的方式来确保REST API或者其他形式的Web服务的安全性,同时也提供了一种无状态、易于扩展的解决方案,非常适合现代微服务架构。

这篇关于JSON Web Tokens(JWT)与SpringSecurity如何配合使用?的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/1086788

相关文章

JVM 的类初始化机制

前言 当你在 Java 程序中new对象时,有没有考虑过 JVM 是如何把静态的字节码(byte code)转化为运行时对象的呢,这个问题看似简单,但清楚的同学相信也不会太多,这篇文章首先介绍 JVM 类初始化的机制,然后给出几个易出错的实例来分析,帮助大家更好理解这个知识点。 JVM 将字节码转化为运行时对象分为三个阶段,分别是:loading 、Linking、initialization

Spring Security 基于表达式的权限控制

前言 spring security 3.0已经可以使用spring el表达式来控制授权,允许在表达式中使用复杂的布尔逻辑来控制访问的权限。 常见的表达式 Spring Security可用表达式对象的基类是SecurityExpressionRoot。 表达式描述hasRole([role])用户拥有制定的角色时返回true (Spring security默认会带有ROLE_前缀),去

浅析Spring Security认证过程

类图 为了方便理解Spring Security认证流程,特意画了如下的类图,包含相关的核心认证类 概述 核心验证器 AuthenticationManager 该对象提供了认证方法的入口,接收一个Authentiaton对象作为参数; public interface AuthenticationManager {Authentication authenticate(Authenti

Spring Security--Architecture Overview

1 核心组件 这一节主要介绍一些在Spring Security中常见且核心的Java类,它们之间的依赖,构建起了整个框架。想要理解整个架构,最起码得对这些类眼熟。 1.1 SecurityContextHolder SecurityContextHolder用于存储安全上下文(security context)的信息。当前操作的用户是谁,该用户是否已经被认证,他拥有哪些角色权限…这些都被保

Spring Security基于数据库验证流程详解

Spring Security 校验流程图 相关解释说明(认真看哦) AbstractAuthenticationProcessingFilter 抽象类 /*** 调用 #requiresAuthentication(HttpServletRequest, HttpServletResponse) 决定是否需要进行验证操作。* 如果需要验证,则会调用 #attemptAuthentica

Spring Security 从入门到进阶系列教程

Spring Security 入门系列 《保护 Web 应用的安全》 《Spring-Security-入门(一):登录与退出》 《Spring-Security-入门(二):基于数据库验证》 《Spring-Security-入门(三):密码加密》 《Spring-Security-入门(四):自定义-Filter》 《Spring-Security-入门(五):在 Sprin

Java架构师知识体认识

源码分析 常用设计模式 Proxy代理模式Factory工厂模式Singleton单例模式Delegate委派模式Strategy策略模式Prototype原型模式Template模板模式 Spring5 beans 接口实例化代理Bean操作 Context Ioc容器设计原理及高级特性Aop设计原理Factorybean与Beanfactory Transaction 声明式事物

中文分词jieba库的使用与实景应用(一)

知识星球:https://articles.zsxq.com/id_fxvgc803qmr2.html 目录 一.定义: 精确模式(默认模式): 全模式: 搜索引擎模式: paddle 模式(基于深度学习的分词模式): 二 自定义词典 三.文本解析   调整词出现的频率 四. 关键词提取 A. 基于TF-IDF算法的关键词提取 B. 基于TextRank算法的关键词提取

使用SecondaryNameNode恢复NameNode的数据

1)需求: NameNode进程挂了并且存储的数据也丢失了,如何恢复NameNode 此种方式恢复的数据可能存在小部分数据的丢失。 2)故障模拟 (1)kill -9 NameNode进程 [lytfly@hadoop102 current]$ kill -9 19886 (2)删除NameNode存储的数据(/opt/module/hadoop-3.1.4/data/tmp/dfs/na

Hadoop数据压缩使用介绍

一、压缩原则 (1)运算密集型的Job,少用压缩 (2)IO密集型的Job,多用压缩 二、压缩算法比较 三、压缩位置选择 四、压缩参数配置 1)为了支持多种压缩/解压缩算法,Hadoop引入了编码/解码器 2)要在Hadoop中启用压缩,可以配置如下参数