spring boot+jwt实现api的token认证详解

前言

本篇和大家分享jwt(json web token)的使用,她主要用来生成接口访问的token和验证,其单独结合springboot来开发api接口token验证很是方便,由于jwt的token中存储有用户的信息并且有加密,所以适用于分布式,这样直接吧信息存储在用户本地减速了服务端存储sessiion或token的压力;

如下快速使用:

<!--jwt-->
<dependency>
 <groupId>io.jsonwebtoken</groupId>
 <artifactId>jjwt</artifactId>
 <version>0.9.0</version>
</dependency>
<!--阿里 FastJson依赖-->
<dependency>
 <groupId>com.alibaba</groupId>
 <artifactId>fastjson</artifactId>
 <version>1.2.44</version>
</dependency>

一般使用jwt来达到3种结果:

  • 生成token
  • 验证token是否有效
  • 获取token中jwt信息(主要用户信息)

生成token

引入了jjwt依赖后,要生成token很方便;对于一个token来说,代表的是唯一并且不可逆的,因此我们在生成时需要增加一些唯一数据进去,比如下面的id:

long currentTime = System.currentTimeMillis();
return Jwts.builder()
  .setId(UUID.randomUUID().toString())
  .setIssuedAt(new Date(currentTime)) //签发时间
  .setSubject("system") //说明
  .setIssuer("shenniu003") //签发者信息
  .setAudience("custom") //接收用户
  .compressWith(CompressionCodecs.GZIP) //数据压缩方式

  .signWith(SignatureAlgorithm.HS256, encryKey) //加密方式
  .setExpiration(new Date(currentTime + secondTimeOut * 1000)) //过期时间戳
  .addClaims(claimMaps) //cla信息
  .compact();

通过uuid来标记唯一id信息;当然在对token加密时需要用到秘钥,jwt很是方便她支持了很多中加密方式如:HS256,HS265,Md5等复杂及常用的加密方式;

jwt生成的token中内容分为3个部分:head信息,payload信息,sign信息,通常我们要做的是往payload增加一些用户信息(比如:账号,昵称,权限等,但不包含密码);在对jwt的token有一定了解后,我们来看下真实生成的token值:

eyJhbGciOiJIUzI1NiIsInppcCI6IkdaSVAifQ.H4sIAAAAAAAAAFWMTQ7CIBSE7_LWkPDzaEsP4QnYINCIptX4INE0vbtg4sLlfPPN7HAtGWbwg1BKL4GrcbEcIwpujZF8iiEpjXFapAAG2ReYpUEcR2VxYED13Nb0ppLW3hP1eEnblqsQuiFfY0OhUrl3I70evweU_aFSejZhd7DlcDv5NTmYHUilHTD3rf_hAccHRTv--7YAAAA.i4xwoQtaWI0-dwHWN8uZ4DBm-vfli5bavYU9lRYxU5E

验证token是否有效

token生成的时都会伴随者有一个失效的时间,在这我们可以通过setExpiration函数设置过期时间,记住jwt的有效时间不是滑动的,也就是说不做任何处理时,当到达第一次设置的失效时间时,就基本没用了,要获取token是否过期可以使用如下方式:

public static boolean isExpiration(String token, String encryKey) {
 try {
  return getClaimsBody(token, encryKey)
    .getExpiration()
    .before(new Date());
 } catch (ExpiredJwtException ex) {
  return true;
 }
}

这里使用了date的before来用获取的过期时间和当前时间对比,判断是否继续有效,需要注意的是如果在token失效后再通过getClaimsBody(token, encryKey)获取信息,此时会报ExpiredJwtException错误,我们即可认为过期。

获取token中jwt信息(主要用户信息)

通常我们要把登录用户信息存储在jwt生成的token中,这里可以通过 addClaims(claimMaps) 传递map来设置信息,反过来要获取token中的用户信息,我们需要这样做:

 return Jwts.parser()
   .setSigningKey(encryKey)
   .parseClaimsJws(token)
   .getBody();

此时body获取出来是Claims类型,我们需要从中获取到用户信息,需要注意的是在addClaims存储信息的时候如果存储的map值没做过出来,那完整的实体对象存储进去后会映射成一个LinkHasMap类型,如下:

因此通常会在存储的时候json化,如下代码:

 claimMaps.forEach((key, val) -> {
  claimMaps.put(key, JSON.toJSONString(val));
 });

再来就是通过get方法获取我们存储进去的信息,并json反序列化:

/**
* 获取body某个值
*
* @param token
* @param encryKey
* @param key
* @return
*/
public static Object getVal(String token, String encryKey, String key) {
 return getJws(token, encryKey).getBody().get(key);
}

/**
 * 获取body某个值,json字符转实体
 *
 * @param token
 * @param encryKey
 * @param key
 * @param tClass
 * @param <T>
 * @return
 */
public static <T> T getValByT(String token, String encryKey, String key, Class<T> tClass) {
 try {
  String strJson = getVal(token, encryKey, key).toString();
  return JSON.parseObject(strJson, tClass);
 } catch (Exception ex) {
  return null;
 }
}

来到这里一个Jwt的Util代码基本就完成了,下面给出完整的代码例子,仅供参考:

public class JwtUtil {

 /**
  * 获取token - json化 map信息
  *
  * @param claimMaps
  * @param encryKey
  * @param secondTimeOut
  * @return
  */
 public static String getTokenByJson(Map<String, Object> claimMaps, String encryKey, int secondTimeOut) {
  return getToken(claimMaps, true, encryKey, secondTimeOut);
 }

 /**
  * 获取token
  *
  * @param claimMaps
  * @param isJsonMpas
  * @param encryKey
  * @param secondTimeOut
  * @return
  */
 public static String getToken(Map<String, Object> claimMaps, boolean isJsonMpas, String encryKey, int secondTimeOut) {

  if (isJsonMpas) {
   claimMaps.forEach((key, val) -> {
    claimMaps.put(key, JSON.toJSONString(val));
   });
  }
  long currentTime = System.currentTimeMillis();
  return Jwts.builder()
    .setId(UUID.randomUUID().toString())
    .setIssuedAt(new Date(currentTime)) //签发时间
    .setSubject("system") //说明
    .setIssuer("shenniu003") //签发者信息
    .setAudience("custom") //接收用户
    .compressWith(CompressionCodecs.GZIP) //数据压缩方式

    .signWith(SignatureAlgorithm.HS256, encryKey) //加密方式
    .setExpiration(new Date(currentTime + secondTimeOut * 1000)) //过期时间戳
    .addClaims(claimMaps) //cla信息
    .compact();
 }

 /**
  * 获取token中的claims信息
  *
  * @param token
  * @param encryKey
  * @return
  */
 private static Jws<Claims> getJws(String token, String encryKey) {
  return Jwts.parser()
    .setSigningKey(encryKey)
    .parseClaimsJws(token);
 }

 public static String getSignature(String token, String encryKey) {
  try {
   return getJws(token, encryKey).getSignature();
  } catch (Exception ex) {
   return "";
  }
 }

 /**
  * 获取token中head信息
  *
  * @param token
  * @param encryKey
  * @return
  */
 public static JwsHeader getHeader(String token, String encryKey) {
  try {
   return getJws(token, encryKey).getHeader();
  } catch (Exception ex) {
   return null;
  }
 }

 /**
  * 获取payload body信息
  *
  * @param token
  * @param encryKey
  * @return
  */
 public static Claims getClaimsBody(String token, String encryKey) {
  return getJws(token, encryKey).getBody();
 }

 /**
  * 获取body某个值
  *
  * @param token
  * @param encryKey
  * @param key
  * @return
  */
 public static Object getVal(String token, String encryKey, String key) {
  return getJws(token, encryKey).getBody().get(key);
 }

 /**
  * 获取body某个值,json字符转实体
  *
  * @param token
  * @param encryKey
  * @param key
  * @param tClass
  * @param <T>
  * @return
  */
 public static <T> T getValByT(String token, String encryKey, String key, Class<T> tClass) {
  try {
   String strJson = getVal(token, encryKey, key).toString();
   return JSON.parseObject(strJson, tClass);
  } catch (Exception ex) {
   return null;
  }
 }

 /**
  * 是否过期
  *
  * @param token
  * @param encryKey
  * @return
  */
 public static boolean isExpiration(String token, String encryKey) {
  try {
   return getClaimsBody(token, encryKey)
     .getExpiration()
     .before(new Date());
  } catch (ExpiredJwtException ex) {
   return true;
  }
 }

 public static String getSubject(String token, String encryKey) {
  try {
   return getClaimsBody(token, encryKey).getSubject();
  } catch (Exception ex) {
   return "";
  }
 }
}

过滤器验证token

有了基本的JwtUtil工具,我们需要用到springboot项目中,一般来说对于登录授权token验证可以通过过滤器来操作,这里创建一个AuthenFilter,用于对post请求过来的token做验证:

public class AuthenFilter implements Filter {
 @Override
 public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {

  HttpServletRequest rq = (HttpServletRequest) servletRequest;
  HttpServletResponse rp = (HttpServletResponse) servletResponse;
  RpBase rpBase = new RpBase();
  try {
   //只接受post
   if (!rq.getMethod().equalsIgnoreCase("post")) {
    filterChain.doFilter(servletRequest, servletResponse);
    return;
   }

   String token = rq.getHeader("token");
   if (StringUtils.isEmpty(token)) {
    rpBase.setMsg("无token");
    return;
   }

   //jwt验证
   MoUser moUser = JwtUtil.getValByT(token, WebConfig.Token_EncryKey, WebConfig.Login_User, MoUser.class);
   if (moUser == null) {
    rpBase.setMsg("token已失效");
    return;
   }

   System.out.println("token用户:" + moUser.getNickName());

   filterChain.doFilter(servletRequest, servletResponse);
  } catch (Exception ex) {
  } finally {
   if (!StringUtils.isEmpty(rpBase.getMsg())) {
    rp.setCharacterEncoding("utf-8");
    rpBase.setCode(HttpStatus.BAD_REQUEST.value());
    rp.getWriter().write(JSON.toJSONString(rpBase));
   }
  }
 }
}

要是自定义过滤器AuthenFilter生效,还需要把她注册到容器中,这里通过编码方式,当然还可以通过@WebFilter注解来加入到容器中:

@Configuration
public class WebFilterConfig {

 @Bean
 public FilterRegistrationBean setFilter() {

  FilterRegistrationBean registrationBean = new FilterRegistrationBean();
  registrationBean.setFilter(new AuthenFilter());
  registrationBean.addUrlPatterns("/api/*");
  registrationBean.setOrder(FilterRegistrationBean.LOWEST_PRECEDENCE);

  return registrationBean;
 }
}

注意addUrlPatterns匹配的是过滤器作用的url连接,根据需求而定;为了验证效果,这里我创建了两个接口getToken和t0,分别是获取token和post查询接口,代码如是:

@RestController
public class TestController {

 @PostMapping("/api/t0")
 public String t0() throws MyException {

  return UUID.randomUUID().toString();
 }

 @GetMapping("/token/{userName}")
 public String getToken(@PathVariable String userName) {

  MoUser moUser = new MoUser();
  moUser.setUserName(userName);
  moUser.setNickName(userName);

  Map<String, Object> map = new HashMap<>();
  map.put(WebConfig.Login_User, moUser);

  return JwtUtil.getTokenByJson(map,
    WebConfig.Token_EncryKey,
    WebConfig.Token_SecondTimeOut);
 }
}

最终要获通过head传递token值来访问t01接口,得到如下结果:

token在有效时间后访问直接失败,从新获取token并访问t01接口,得到成功的信息:

git地址: https://github.com/shenniubuxing3

总结

以上就是这篇文章的全部内容了,希望本文的内容对大家的学习或者工作具有一定的参考学习价值,如果有疑问大家可以留言交流,谢谢大家对我们的支持。

(0)

相关推荐

  • Spring-boot结合Shrio实现JWT的方法

    本文介绍了Spring-boot结合Shrio实现JWT的方法,分享给大家,具体如下: 关于验证大致分为两个方面: 用户登录时的验证: 用户登录后每次访问时的权限认证 主要解决方法:使用自定义的Shiro Filter 项目搭建: 这是一个spring-boot 的web项目,不了解spring-boot的项目搭建,请google. pom.mx引入相关jar包 <!-- shiro 权限管理 --> <dependency> <groupId>org.apache.s

  • 详解Spring Boot实战之Filter实现使用JWT进行接口认证

    本文介绍了spring Boot实战之Filter实现使用JWT进行接口认证,分享给大家 jwt(json web token) 用户发送按照约定,向服务端发送 Header.Payload 和 Signature,并包含认证信息(密码),验证通过后服务端返回一个token,之后用户使用该token作为登录凭证,适合于移动端和api jwt使用流程 本文示例接上面几篇文章中的代码进行编写,请阅读本文的同时可以参考前面几篇文章 1.添加依赖库jjwt,本文中构造jwt及解析jwt都使用了jjwt库

  • 基于Token的身份验证之JWT基础教程

    前言 初次了解JWT,很基础,高手勿喷. 基于Token的身份验证用来替代传统的cookie+session身份验证方法中的session. token应用流程为: 1.初次登录:用户初次登录,输入用户名密码. 2.密码验证:服务器从数据库取出用户名和密码进行验证. 3.生成JWT:服务器端验证通过,根据从数据库返回的信息,以及预设规则,生成JWT. 4.返还JWT:服务器的HTTP RESPONSE中将JWT返还. 5.带JWT的请求:以后客户端发起请求,HTTP REQUEST HEADER

  • Spring Boot(四)之使用JWT和Spring Security保护REST API

    通常情况下,把API直接暴露出去是风险很大的,不说别的,直接被机器攻击就喝一壶的.那么一般来说,对API要划分出一定的权限级别,然后做一个用户的鉴权,依据鉴权结果给予用户开放对应的API.目前,比较主流的方案有几种: 用户名和密码鉴权,使用Session保存用户鉴权结果. 使用OAuth进行鉴权(其实OAuth也是一种基于Token的鉴权,只是没有规定Token的生成方式) 自行采用Token进行鉴权 第一种就不介绍了,由于依赖Session来维护状态,也不太适合移动时代,新的项目就不要采用了.

  • Vue+Jwt+SpringBoot+Ldap完成登录认证的示例代码

    本人野生程序员一名,了解了一些微服务架构.前后端分离.SPA的知识后就想试试做点什么东西.之前一直做后端,前端只是有基础知识.之前学习过angularjs,但当时就是一脸懵逼(完全看不懂是啥)就放弃了.最近又学了Vue,这次感觉总算明白了一些,但其中也跳过很多坑(应该还会更多),在这里写下来记录一下吧. 说回主题,之前传统登录认证的方法基本是由服务器端提供一个登录页面,页面中的一个form输入username和password后POST给服务器,服务器将这些信息与DB或Ldap中的用户信息对比,

  • spring boot+jwt实现api的token认证详解

    前言 本篇和大家分享jwt(json web token)的使用,她主要用来生成接口访问的token和验证,其单独结合springboot来开发api接口token验证很是方便,由于jwt的token中存储有用户的信息并且有加密,所以适用于分布式,这样直接吧信息存储在用户本地减速了服务端存储sessiion或token的压力: 如下快速使用: <!--jwt--> <dependency> <groupId>io.jsonwebtoken</groupId>

  • Spring boot进行参数校验的方法实例详解

    Spring boot开发web项目有时候我们需要对controller层传过来的参数进行一些基本的校验,比如非空.整数值的范围.字符串的长度.日期.邮箱等等.Spring支持JSR-303 Bean Validation API,可以方便的进行校验. 使用注解进行校验 先定义一个form的封装对象 class RequestForm { @Size(min = 1, max = 5) private String name; public String getName() { return n

  • Spring Boot实现登录验证码功能的案例详解

    目录 验证码的作用 案例要求 前端页面准备 准备login.html页面 随机验证码工具类 后端控制器 验证码的作用 验证码的作用:可以有效防止其他人对某一个特定的注册用户用特定的程序暴力破解方式进行不断的登录尝试我们其实很经常看到,登录一些网站其实是需要验证码的,比如牛客,QQ等.使用验证码是现在很多网站通行的一种方式,这个问题是由计算机生成并且评判的,但是必须只有人类才能解答,因为计算机无法解答验证码的问题,所以回答出问题的用户就可以被认为是人类.验证码一般用来防止批量注册. 案例要求 验证

  • spring boot 图片上传与显示功能实例详解

    首先描述一下问题,spring boot 使用的是内嵌的tomcat, 所以不清楚文件上传到哪里去了, 而且spring boot 把静态的文件全部在启动的时候都会加载到classpath的目录下的,所以上传的文件不知相对于应用目录在哪,也不知怎么写访问路径合适,对于新手的自己真的一头雾水. 后面想起了官方的例子,没想到一开始被自己找到的官方例子,后面太依赖百度谷歌了,结果发现只有官方的例子能帮上忙,而且帮上大忙,直接上密码的代码 package hello; import static org

  • Spring Boot的listener(监听器)简单使用实例详解

    监听器(Listener)的注册方法和 Servlet 一样,有两种方式:代码注册或者注解注册 1.代码注册方式 通过代码方式注入过滤器 @Bean public ServletListenerRegistrationBean servletListenerRegistrationBean(){ ServletListenerRegistrationBean servletListenerRegistrationBean = new ServletListenerRegistrationBean

  • Spring Boot 中PageHelper 插件使用配置思路详解

    使用思路 1.引入myabtis和pagehelper依赖 2.yml中配置mybatis扫描和实体类 这2行代码 pageNum:当前第几页 pageSize:显示多少条数据 userList:数据库查询的数据数据列表 PageHelper.startPage(pageNum, pageSize); PageInfo pageInfo = new PageInfo(userList); 最后返回一个pageInfo 对象即可,pageInfo 这个对象中只有数据一些信息,但是,没有成功失败的状

  • Spring Boot 多数据源处理事务的思路详解

    目录 1. 思路梳理 2. 代码实践 2.1 案例准备 2.2 开始整活 LoadDataSource.java 3. 总结 首先我先声明一点,本文单纯就是技术探讨,要从实际应用中来说的话,我并不建议这样去玩分布式事务.也不建议这样去玩多数据源,毕竟分布式事务主要还是用在微服务场景下. 好啦,那就不废话了,开整. 1. 思路梳理 首先我们来梳理一下思路. 在上篇文章中,我们是一个微服务,在 A 中分别去调用 B 和 C,当 B 或者 C 有一个执行失败的时候,就去回滚.B 和 C 都是调用远程的

  • spring cloud-给Eureka Server加上安全的用户认证详解

    前言 在前面的一篇文章中spring cloud中启动Eureka Server我们启动了Eureka Server,然后在浏览器中输入http://localhost:8761/后,直接回车,就进入了spring cloud的服务治理页面,这么做在生产环境是极不安全的,下面,我们就给Eureka Server加上安全的用户认证. 一.添加spring-security支持 <dependency> <groupId>org.springframework.boot</gro

  • Spring Boot构建优雅的RESTful接口过程详解

    RESTful 相信在座的各位对于RESTful都是略有耳闻,那么RESTful到底是什么呢? REST(Representational State Transfer)表述性状态转移是一组架构约束条件和原则.满足这些约束条件和原则的应用程序或设计就是RESTful.需要注意的是,REST是设计风格而不是标准.REST通常基于使用HTTP,URI,和XML(标准通用标记语言下的一个子集)以及HTML(标准通用标记语言下的一个应用)这些现有的广泛流行的协议和标准. 也许这段话有些晦涩难懂,换个角度

  • Spring Boot中使用Spring-data-jpa的配置方法详解

    为了解决这些大量枯燥的数据操作语句,我们第一个想到的是使用ORM框架,比如:hibernate.通过整合Hibernate之后,我们以操作Java实体的方式最终将数据改变映射到数据库表中. 为了解决抽象各个Java实体基本的"增删改查"操作,我们通常会以泛型的方式封装一个模板Dao来进行抽象简化,但是这样依然不是很方便,我们需要针对每个实体编写一个继承自泛型模板Dao的接口,再编写该接口的实现.虽然一些基础的数据访问已经可以得到很好的复用,但是在代码结构上针对每个实体都会有一堆Dao的

随机推荐