day12-SpringBootWeb 登录认证

2024-03-19 05:12
文章标签 认证 登录 day12 springbootweb

本文主要是介绍day12-SpringBootWeb 登录认证，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

一、登录功能

在这里插入图片描述
在这里插入图片描述

@Slf4j
@RestController
public class LoginController {@Autowiredprivate EmpService empService;@PostMapping("/login")public Result login(@RequestBody Emp emp){log.info("员工登录: {}", emp);Emp e = empService.login(emp);//登录失败, 返回错误信息return Result.error("用户名或密码错误");}}

@Service
public class EmpServiceImpl implements EmpService {@Autowiredprivate EmpMapper empMapper;@Overridepublic Emp login(Emp emp) {return empMapper.getByUsernameAndPassword(emp);}
}

/*** 员工管理*/
@Mapper
public interface EmpMapper {/*** 根据用户名和密码查询员工* @param emp* @return*/@Select("select * from emp where username = #{username} and password = #{password}")Emp getByUsernameAndPassword(Emp emp);
}

二、登录校验

1 问题分析

所谓登录校验，指的是我们在服务器端接收到浏览器发送过来的请求之后，首先我们要对请求进行校验。先要校验一下用户登录了没有，如果用户已经登录了，就直接执行对应的业务操作就可以了；如果用户没有登录，此时就不允许他执行相关的业务操作，直接给前端响应一个错误的结果，最终跳转到登录页面，要求他登录成功之后，再来访问对应的数据。

在这里插入图片描述
那应该怎么来实现登录校验的操作呢？具体的实现思路可以分为两部分：

  1. 在员工登录成功后，需要将用户登录成功的信息存起来，记录用户已经登录成功的 标记。
  2. 在浏览器发起请求时，需要在服务端进行 统一拦截，拦截后进行登录校验。

登陆标记涉及到 web 开发中的 会话技术

统一拦截技术现实方案也有两种：

  1. Servlet 规范中的 Filter 过滤器
  2. Spring 提供的 interceptor 拦截器

2 会话技术

会话：用户打开浏览器，访问 web 服务器的资源，会话建立，直到有一方断开连接，会话结束。在一次会话中可以包含 多次 请求和响应。

会话跟踪：一种维护浏览器状态的方法，服务器需要识别多次请求是否来自于同一浏览器，以便在同一次会话的多次请求间 共享数据 。

会话跟踪方案：

  1. 客户端会话跟踪技术：Cookie
    数据存储在客户端浏览器当中
  2. 服务端会话跟踪技术：Session
    数据存储在服务端
  3. 令牌技术

2.1 方案一 - Cookie

在这里插入图片描述

服务器端在给客户端在响应数据的时候，会自动的将 cookie 响应给浏览器，浏览器接收到响应回来的 cookie 之后，会自动的将 cookie 的值存储在浏览器本地。接下来在后续的每一次请求当中，都会将浏览器本地所存储的 cookie 自动地携带到服务端。

为什么这一切都是自动化进行的？
是因为 cookie 它是 HTTP 协议当中所支持的技术，而各大浏览器厂商都支持了这一标准。在 HTTP协议官方给我们提供了一个响应头和请求头：

  1. 响应头 Set-Cookie ：设置Cookie数据的
  2. 请求头 Cookie：携带Cookie数据的

在这里插入图片描述

/*** Cookie、HttpSession演示*/
@Slf4j
@RestController
public class SessionController {//设置Cookie@GetMapping("/c1")public Result cookie1(HttpServletResponse response){response.addCookie(new Cookie("login_username","itheima")); //设置Cookie/响应Cookiereturn Result.success();}//获取Cookie@GetMapping("/c2")public Result cookie2(HttpServletRequest request){Cookie[] cookies = request.getCookies();for (Cookie cookie : cookies) {if(cookie.getName().equals("login_username")){System.out.println("login_username: "+cookie.getValue()); //输出name为login_username的cookie}}return Result.success();}
}

2.2 方案二 - Session

在这里插入图片描述

/*** Cookie、HttpSession演示*/
@Slf4j
@RestController
public class SessionController {@GetMapping("/s1")public Result session1(HttpSession session){log.info("HttpSession-s1: {}", session.hashCode());session.setAttribute("loginUser", "tom"); //往session中存储数据return Result.success();}@GetMapping("/s2")public Result session2(HttpServletRequest request){HttpSession session = request.getSession();log.info("HttpSession-s2: {}", session.hashCode());Object loginUser = session.getAttribute("loginUser"); //从session中获取数据log.info("loginUser: {}", loginUser);return Result.success(loginUser);}
}

2.3 方案三 - 令牌技术

在这里插入图片描述

3 JWT 令牌

前面我们介绍了基于令牌技术来实现会话追踪。这里所提到的令牌就是用户身份的标识，其本质就是一个字符串。令牌的形式有很多，我们使用的是功能强大的 JWT 令牌。

3.1 介绍

  • 全称：JSON Web Token （https://jwt.io/）
  • 定义了一种简洁的、自包含的格式，用于在通信双方以 json 数据格式安全的传输信息。由于数字签名的存在，这些信息是可靠的。

组成：

  1. 第一部分：Header(头）， 记录令牌类型、签名算法等。 例如：{“alg”:“HS256”,“type”:“JWT”}
  2. 第二部分：Payload(有效载荷），携带一些自定义信息、默认信息等。 例如：{“id”:“1”,“username”:“Tom”}
  3. 第三部分：Signature(签名），防止Token被篡改、确保安全性。将header、payload，并加入指定秘钥，通过指定签名算法计算而来。

在这里插入图片描述

Base64：是一种基于64个可打印字符（A-Z a-z 0-9 + /）来表示二进制数据的编码方式。

JWT 令牌最典型的应用场景就是 登录认证：

  1. 在浏览器发起请求来执行登录操作，此时会访问登录的接口，如果登录成功之后，我们需要 生成 一个 jwt 令牌，将生成的 jwt 令牌返回给前端。
  2. 前端拿到 jwt 令牌之后，会将 jwt 令牌存储起来。在后续的每一次请求中都会将 jwt 令牌携带到服务端。
  3. 服务端统一拦截请求之后，先来判断一下这次请求有没有把令牌带过来，如果没有带过来，直接拒绝访问，如果带过来了，还要 校验 一下令牌是否是有效。如果有效，就直接放行进行请求的处理。

3.2 生成和校验

        <!--JWT令牌--><dependency><groupId>io.jsonwebtoken</groupId><artifactId>jjwt</artifactId><version>0.9.1</version></dependency>

//@SpringBootTest
class TliasWebManagementApplicationTests {@Testpublic void testUuid(){for (int i = 0; i < 1000; i++) {String uuid = UUID.randomUUID().toString();System.out.println(uuid);}}/*** 生成JWT*/@Testpublic void testGenJwt(){Map<String, Object> claims = new HashMap<>();claims.put("id",1);claims.put("name","tom");String jwt = Jwts.builder().signWith(SignatureAlgorithm.HS256, "itheima")//签名算法.setClaims(claims) //自定义内容(载荷).setExpiration(new Date(System.currentTimeMillis() + 3600 * 1000))//设置有效期为1h.compact();System.out.println(jwt);}/*** 解析JWT*/@Testpublic void testParseJwt(){Claims claims = Jwts.parser().setSigningKey("itheima").parseClaimsJws("eyJhbGciOiJIUzI1NiJ9.eyJuYW1lIjoidG9tIiwiaWQiOjEsImV4cCI6MTY3MDQ2NDU0N30.yPLRyiusrlrmWeC4-dhInjFuAghPkmiHSRHd_DTKi9E").getBody();System.out.println(claims);}
}

注意事项：

  1. JWT 校验时使用的签名秘钥，必须和生成 JWT 令牌时使用的秘钥是配套的。
  2. 如果 JWT 令牌解析校验时报错，则说明 JWT 令牌被篡改 或 失效了，令牌非法。

3.3 登录下发令牌

public class JwtUtils {private static String signKey = "itheima";private static Long expire = 43200000L;/*** 生成JWT令牌* @param claims JWT第二部分负载 payload 中存储的内容* @return*/public static String generateJwt(Map<String, Object> claims){String jwt = Jwts.builder().addClaims(claims).signWith(SignatureAlgorithm.HS256, signKey).setExpiration(new Date(System.currentTimeMillis() + expire)).compact();return jwt;}/*** 解析JWT令牌* @param jwt JWT令牌* @return JWT第二部分负载 payload 中存储的内容*/public static Claims parseJWT(String jwt){Claims claims = Jwts.parser().setSigningKey(signKey).parseClaimsJws(jwt).getBody();return claims;}
}

@Slf4j
@RestController
public class LoginController {@Autowiredprivate EmpService empService;@PostMapping("/login")public Result login(@RequestBody Emp emp){log.info("员工登录: {}", emp);Emp e = empService.login(emp);//登录成功,生成令牌,下发令牌if (e != null){Map<String, Object> claims = new HashMap<>();claims.put("id", e.getId());claims.put("name", e.getName());claims.put("username", e.getUsername());String jwt = JwtUtils.generateJwt(claims); //jwt包含了当前登录的员工信息return Result.success(jwt);}//登录失败, 返回错误信息return Result.error("用户名或密码错误");}}

服务器响应的 JWT 令牌存储在本地浏览器哪里了呢？

  • 在当前案例中，JWT 令牌存储在浏览器的本地存储空间 local storage 中了。 local storage 是浏览器的本地存储，在移动端也是支持的。

在这里插入图片描述

我们在发起一个查询部门数据的请求，此时我们可以看到在请求头中包含一个 token(JWT令牌)，后续的每一次请求当中，都会将这个令牌携带到服务端。
在这里插入图片描述

4 过滤器 Filter

4.1 快速入门

  • 概念：Filter 过滤器，是 JavaWeb 三大组件(Servlet、Filter、Listener)之一。
  • 过滤器可以把对资源的请求 拦截 下来，从而实现一些特殊的功能。
  • 过滤器一般完成一些 通用 的操作，比如：登录校验、统一编码处理、敏感字符处理等。

Filter 快速入门 步骤：

  1. 定义过滤器 ：定义一个类，实现 Filter 接口，并重写其所有方法。
  2. 配置过滤器：Filter类上加 @WebFilter 注解，配置拦截资源的路径。引导类上加 @ServletComponentScan 开启 Servlet 组件支持。
    在这里插入图片描述

4.2 Filter 详解

4.2.1 执行流程

在这里插入图片描述
在这里插入图片描述

4.2.2 拦截路径

Filter 可以根据需求，配置不同的拦截资源路径：
在这里插入图片描述

4.2.3 过滤器链
  • 介绍：一个 web 应用中，可以配置多个过滤器，这多个过滤器就形成了一个 过滤器链 。
  • 顺序：注解配置的Filter，优先级是按照过滤器类名（字符串）的自然排序。

在这里插入图片描述

4.3 登录校验 - Filter

在这里插入图片描述

步骤

  1. 获取请求url。
  2. 判断请求url中是否包含login，如果包含，说明是登录操作，放行。
  3. 获取请求头中的令牌（token）。
  4. 判断令牌是否存在，如果不存在，返回错误结果（未登录）。
  5. 解析token，如果解析失败，返回错误结果（未登录）。
  6. 放行。
@Slf4j
@WebFilter(urlPatterns = "/*")
public class LoginCheckFilter implements Filter {@Overridepublic void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {HttpServletRequest req = (HttpServletRequest) request;HttpServletResponse resp = (HttpServletResponse) response;//1.获取请求url。String url = req.getRequestURL().toString();log.info("请求的url: {}",url);//2.判断请求url中是否包含login，如果包含，说明是登录操作，放行。if(url.contains("login")){log.info("登录操作, 放行...");chain.doFilter(request,response);return;}//3.获取请求头中的令牌（token）。String jwt = req.getHeader("token");//4.判断令牌是否存在，如果不存在，返回错误结果（未登录）。if(!StringUtils.hasLength(jwt)){log.info("请求头token为空,返回未登录的信息");Result error = Result.error("NOT_LOGIN");//手动转换 对象--json --------> 阿里巴巴fastJSONString notLogin = JSONObject.toJSONString(error);resp.getWriter().write(notLogin);return;}//5.解析token，如果解析失败，返回错误结果（未登录）。try {JwtUtils.parseJWT(jwt);} catch (Exception e) {//jwt解析失败e.printStackTrace();log.info("解析令牌失败, 返回未登录错误信息");Result error = Result.error("NOT_LOGIN");//手动转换 对象--json --------> 阿里巴巴fastJSONString notLogin = JSONObject.toJSONString(error);resp.getWriter().write(notLogin);return;}//6.放行。log.info("令牌合法, 放行");chain.doFilter(request, response);}
}

5 拦截器 Interceptor

5.1 快速入门

  • 概念：是一种动态拦截方法调用的机制，类似于过滤器。Spring 框架中提供的，用来动态拦截控制器方法的执行。
  • 作用：拦截请求，在指定的方法调用前后，根据业务需要执行预先设定的代码。

在这里插入图片描述

Interceptor 快速入门 步骤：

  1. 定义拦截器，实现 HandlerInterceptor 接口，并重写其所有方法。
  2. 注册拦截器。

在这里插入图片描述

5.2 Interceptor 详解

5.2.1 拦截路径

在这里插入图片描述

5.2.2 执行流程

在这里插入图片描述
在这里插入图片描述

    Filter 与 Interceptor 区别
  • 接口规范不同：过滤器需要实现 Filter 接口，而拦截器需要实现 HandlerInterceptor 接口。
  • 拦截范围不同：过滤器 Filter 会拦截所有的资源，而 Interceptor 只会拦截 Spring 环境中的资源。

5.3 登录校验- Interceptor

@Slf4j
@Component
public class LoginCheckInterceptor implements HandlerInterceptor {@Override //目标资源方法运行前运行, 返回true: 放行, 放回false, 不放行public boolean preHandle(HttpServletRequest req, HttpServletResponse resp, Object handler) throws Exception {//1.获取请求url。String url = req.getRequestURL().toString();log.info("请求的url: {}",url);//2.判断请求url中是否包含login，如果包含，说明是登录操作，放行。if(url.contains("login")){log.info("登录操作, 放行...");return true;}//3.获取请求头中的令牌（token）。String jwt = req.getHeader("token");//4.判断令牌是否存在，如果不存在，返回错误结果（未登录）。if(!StringUtils.hasLength(jwt)){log.info("请求头token为空,返回未登录的信息");Result error = Result.error("NOT_LOGIN");//手动转换 对象--json --------> 阿里巴巴fastJSONString notLogin = JSONObject.toJSONString(error);resp.getWriter().write(notLogin);return false;}//5.解析token，如果解析失败，返回错误结果（未登录）。try {JwtUtils.parseJWT(jwt);} catch (Exception e) {//jwt解析失败e.printStackTrace();log.info("解析令牌失败, 返回未登录错误信息");Result error = Result.error("NOT_LOGIN");//手动转换 对象--json --------> 阿里巴巴fastJSONString notLogin = JSONObject.toJSONString(error);resp.getWriter().write(notLogin);return false;}//6.放行。log.info("令牌合法, 放行");return true;}@Override //目标资源方法运行后运行public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {System.out.println("postHandle ...");}@Override //视图渲染完毕后运行, 最后运行public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {System.out.println("afterCompletion...");}
}

三、异常处理（全局异常处理器）

  出现了异常，该如何处理?
  1. 方案一：在所有 Controller 的所有方法中进行 try…catch 处理
    缺点：代码臃肿（不推荐）
  2. 方案二：全局异常处理器
    好处：简单、优雅（推荐）

在这里插入图片描述
在这里插入图片描述

@RestControllerAdvice = @ControllerAdvice + @ResponseBody

/*** 全局异常处理器*/
@RestControllerAdvice
public class GlobalExceptionHandler {@ExceptionHandler(Exception.class)//捕获所有异常public Result ex(Exception ex){ex.printStackTrace();return Result.error("对不起,操作失败,请联系管理员");}}

这篇关于day12-SpringBootWeb 登录认证的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/824906。

相关文章

智慧环保一体化平台登录

智慧环保一体化平台登录

据悉，在当今这个数字化、智能化的时代，环境保护工作也需要与时俱进，不断创新。朗观视觉智慧环保一体化平台应运而生，它利用先进的信息技术手段，为环保工作提供了更加便捷、高效的管理方式，成为推动绿色发展的重要力量。 一、智慧环保一体化平台的诞生背景 随着工业化进程的加快，环境污染问题日益严重，传统的环保管理模式已经难以满足现代社会的需求。为了提高环保工作的效率和质量，智慧环保一体化平台应运而
阅读更多...
Tkinter和selenium结合实现登录UC后台，最后打包成exe

Tkinter和selenium结合实现登录UC后台，最后打包成exe

主要实现的功能：小号模式自动登录UC阿里汇川广告后台，屏蔽账号密码输入 主要用的技术：用Tkinter展示所有的广告账号界面，使用selenium控制谷歌浏览器，打开阿里汇川登录页，登录汇川后台。 第一次写，遇到的坑比较多，三天，搞定。给自己一个棒棒~☺️ import Tkinter as tk import osimport sysimport requestsfrom sel
阅读更多...
程序人生：关于RHCE红帽认证这件事

程序人生：关于RHCE红帽认证这件事

花了两个月备考红帽，最终终于双满分通过。  关于考试 RHCE红帽认证总共需要考两门：RHCSA、RHCE。 RHCSA主要是考察基本的Linux操作：用户、权限、空间扩容、yum、容器等内容。 RHCE主要是考察ansible playbook 代码的开发。 通过考试没有别的捷径，就是敲命令，键盘照着冒烟了敲。 关于备考        说是两个月时间备考，其实前面一个
阅读更多...
4、SpringMVC 实战小项目【加法计算器、用户登录、留言板、图书管理系统】

4、SpringMVC 实战小项目【加法计算器、用户登录、留言板、图书管理系统】

SpringMVC 实战小项目 3.1 加法计算器3.1.1 准备⼯作前端 3.1.2 约定前后端交互接⼝需求分析接⼝定义请求参数:响应数据: 3.1.3 服务器代码 3.2 ⽤⼾登录3.2.1 准备⼯作3.2.2 约定前后端交互接⼝3.2.3 实现服务器端代码 3.3 留⾔板实现服务器端代码 3.4 图书管理系统准备后端 3.1 加法计算器 需求: 输⼊两个整数, 点击"点
阅读更多...
Spring Boot 实现微信、QQ 绑定登录

Spring Boot 实现微信、QQ 绑定登录

文章目录 1. 项目环境2. 创建Spring Boot项目3. 配置微信和QQ开发平台4. 配置Spring Security5. 配置Spring Security6. 创建登录和主页控制器7. 创建视图8. 运行项目9. 处理用户信息结论 🎉欢迎来到SpringBoot框架学习专栏~ ☆* o(≧▽≦)o *☆嗨~我是IT·陈寒🍹✨博客主页：IT·陈寒的博
阅读更多...
实际项目开发：Spring集成Redis，并实现短信登录功能

实际项目开发：Spring集成Redis，并实现短信登录功能

redis新手，学了几种基本数据类型，却不知道怎么使用？ 总是一边学一边忘？ 学会了Redis的大多数使用命令，却不知道如何在项目中使用？ 本文将从实际出发，为大家解决这些问题。 我是蚊子码农，欢迎各位的点赞、关注和收藏，有了你们的激励，我会带来更好的作品。 一、环境准备 从环境出发。 第一，基础环境： JDK版本：JDK1.8。构建工具：Maven。开发工具：IDEA。基础依赖：Spri
阅读更多...
JS用户登录例子

JS用户登录例子

例子 结果
阅读更多...
用户认证和安全

用户认证和安全

Windows系统巨涌很完善的安全和认证机制，称作访问控制机制。程序的执行主体线程在访问对象（文件、事件等）时，系统会根据线程的权限和线程需要访问的对象所具有的访问控制列表ACL中的“安全描述符”是否匹配来进行认证，决定一个线程是否可以操作一个对象。 基本概念：      A需要访问B，A就是访问的主体，B就是访问的客体。A的“访问令牌”和B的安全描述符共同决定了A是否可以访
阅读更多...
用户，认证和对象安全

用户，认证和对象安全

用户、认证和对象安全 用户、认证和对象安全 Windows系统具有很完善的安全和认证机制，称作访问控制机制。程序的执行主体（线程）在访问对象（文件、事件等）时，系统会根据线程的“权限”和线程需要访问的对象所具有的访问控制列表(ACL)中的“安全描述符”是否匹配来进行认证，决定一个线程是否可以操作一个对象。 1. 关于权限、访问控制列表、安全描述符等在安全认证中所依赖的数据结构，并重
阅读更多...
java实现微信小程序登录

java实现微信小程序登录

一、引入核心pom <!-- 微信小程序 --><dependency><groupId>com.github.binarywang</groupId><artifactId>weixin-java-miniapp</artifactId><version>4.5.0</version></dependency><dependency><groupId>org.apache.co
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2