SpringBoot中怎么利用JWT實(shí)現(xiàn)登錄驗(yàn)證

SpringBoot中怎么利用JWT實(shí)現(xiàn)登錄驗(yàn)證，針對(duì)這個(gè)問題，這篇文章詳細(xì)介紹了相對(duì)應(yīng)的分析和解答，希望可以幫助更多想解決這個(gè)問題的小伙伴找到更簡(jiǎn)單易行的方法。

什么是JWT

JSON Web Token（JWT）是一個(gè)開放的標(biāo)準(zhǔn)（RFC 7519），它定義了一個(gè)緊湊且自包含的方式，用于在各方之間以JSON對(duì)象安全地傳輸信息。這些信息可以通過數(shù)字簽名進(jìn)行驗(yàn)證和信任?？梢允褂妹孛埽ㄊ褂肏MAC算法）或使用RSA的公鑰/私鑰對(duì)來(lái)對(duì)JWT進(jìn)行簽名。具體的jwt介紹可以查看官網(wǎng)的介紹：https://jwt.io/introduction/

jwt請(qǐng)求流程

引用官網(wǎng)的圖片

中文介紹：

用戶使用賬號(hào)和面發(fā)出post請(qǐng)求；  服務(wù)器使用私鑰創(chuàng)建一個(gè)jwt；  服務(wù)器返回這個(gè)jwt給瀏覽器；  瀏覽器將該jwt串在請(qǐng)求頭中像服務(wù)器發(fā)送請(qǐng)求；  服務(wù)器驗(yàn)證該jwt；  返回響應(yīng)的資源給瀏覽器

jwt組成

jwt含有三部分：頭部（header）、載荷（payload）、簽證（signature）

頭部（header）

頭部一般有兩部分信息：聲明類型、聲明加密的算法（通常使用HMAC SHA256）

頭部一般使用base64加密：eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9

解密后：

{  "typ":"JWT",  "alg":"HS256"}

載荷（payload）

該部分一般存放一些有效的信息。jwt的標(biāo)準(zhǔn)定義包含五個(gè)字段：

iss：該JWT的簽發(fā)者  sub: 該JWT所面向的用戶  aud: 接收該JWT的一方  exp(expires): 什么時(shí)候過期，這里是一個(gè)Unix時(shí)間戳  iat(issued at): 在什么時(shí)候簽發(fā)的

這個(gè)只是JWT的定義標(biāo)準(zhǔn)，不強(qiáng)制使用。另外自己也可以添加一些公開的不涉及安全的方面的信息。

簽證（signature）

JWT最后一個(gè)部分。該部分是使用了HS256加密后的數(shù)據(jù)；包含三個(gè)部分：

header (base64后的)  payload (base64后的)  secret 私鑰

secret是保存在服務(wù)器端的，jwt的簽發(fā)生成也是在服務(wù)器端的，secret就是用來(lái)進(jìn)行jwt的簽發(fā)和jwt的驗(yàn)證，所以，它就是你服務(wù)端的私鑰，在任何場(chǎng)景都不應(yīng)該流露出去。一旦客戶端得知這個(gè)secret, 那就意味著客戶端是可以自我簽發(fā)jwt了。

在SpringBoot項(xiàng)目中應(yīng)用

首先需要添加JWT的依賴：

<dependency>    <groupId>io.jsonwebtoken</groupId>    <artifactId>jjwt</artifactId>    <version>0.6.0</version>  </dependency>

接下來(lái)在配置文件中添加JWT的配置信息：

##jwt配置audience: clientId: 098f6bcd4621d373cade4e832627b4f6 base64Secret: MDk4ZjZiY2Q0NjIxZDM3M2NhZGU0ZTgzMjYyN2I0ZjY= name: restapiuser expiresSecond: 172800

配置信息的實(shí)體類，以便獲取jwt的配置：

@Data@ConfigurationProperties(prefix = "audience")@Componentpublic class Audience {  private String clientId;  private String base64Secret;  private String name;  private int expiresSecond;}

JWT驗(yàn)證主要是通過攔截器驗(yàn)證，所以我們需要添加一個(gè)攔截器來(lái)驗(yàn)證請(qǐng)求頭中是否含有后臺(tái)頒發(fā)的token，這里請(qǐng)求頭的格式：這里bearer;后面就是服務(wù)器頒發(fā)的token

public class JwtFilter extends GenericFilterBean {  @Autowired  private Audience audience;  /**   * Reserved claims（保留），它的含義就像是編程語(yǔ)言的保留字一樣，屬于JWT標(biāo)準(zhǔn)里面規(guī)定的一些claim。JWT標(biāo)準(zhǔn)里面定好的claim有：   iss(Issuser)：代表這個(gè)JWT的簽發(fā)主體；   sub(Subject)：代表這個(gè)JWT的主體，即它的所有人；   aud(Audience)：代表這個(gè)JWT的接收對(duì)象；   exp(Expiration time)：是一個(gè)時(shí)間戳，代表這個(gè)JWT的過期時(shí)間；   nbf(Not Before)：是一個(gè)時(shí)間戳，代表這個(gè)JWT生效的開始時(shí)間，意味著在這個(gè)時(shí)間之前驗(yàn)證JWT是會(huì)失敗的；   iat(Issued at)：是一個(gè)時(shí)間戳，代表這個(gè)JWT的簽發(fā)時(shí)間；   jti(JWT ID)：是JWT的唯一標(biāo)識(shí)。   * @param req   * @param res   * @param chain   * @throws IOException   * @throws ServletException   */  @Override  public void doFilter(final ServletRequest req, final ServletResponse res, final FilterChain chain)      throws IOException, ServletException {    final HttpServletRequest request = (HttpServletRequest) req;    final HttpServletResponse response = (HttpServletResponse) res;    //等到請(qǐng)求頭信息authorization信息    final String authHeader = request.getHeader("authorization");    if ("OPTIONS".equals(request.getMethod())) {      response.setStatus(HttpServletResponse.SC_OK);      chain.doFilter(req, res);    } else {      if (authHeader == null || !authHeader.startsWith("bearer;")) {        throw new LoginException(ResultEnum.LOGIN_ERROR);      }      final String token = authHeader.substring(7);      try {        if(audience == null){          BeanFactory factory = WebApplicationContextUtils.getRequiredWebApplicationContext(request.getServletContext());          audience = (Audience) factory.getBean("audience");        }        final Claims claims = JwtHelper.parseJWT(token,audience.getBase64Secret());        if(claims == null){          throw new LoginException(ResultEnum.LOGIN_ERROR);        }        request.setAttribute(Constants.CLAIMS, claims);      } catch (final Exception e) {        throw new LoginException(ResultEnum.LOGIN_ERROR);      }      chain.doFilter(req, res);    }  }}

注冊(cè)JWT攔截器，可以在配置類中，也可以直接在SpringBoot的入口類中

public class JwtFilter extends GenericFilterBean {  @Autowired  private Audience audience;  /**   * Reserved claims（保留），它的含義就像是編程語(yǔ)言的保留字一樣，屬于JWT標(biāo)準(zhǔn)里面規(guī)定的一些claim。JWT標(biāo)準(zhǔn)里面定好的claim有：   iss(Issuser)：代表這個(gè)JWT的簽發(fā)主體；   sub(Subject)：代表這個(gè)JWT的主體，即它的所有人；   aud(Audience)：代表這個(gè)JWT的接收對(duì)象；   exp(Expiration time)：是一個(gè)時(shí)間戳，代表這個(gè)JWT的過期時(shí)間；   nbf(Not Before)：是一個(gè)時(shí)間戳，代表這個(gè)JWT生效的開始時(shí)間，意味著在這個(gè)時(shí)間之前驗(yàn)證JWT是會(huì)失敗的；   iat(Issued at)：是一個(gè)時(shí)間戳，代表這個(gè)JWT的簽發(fā)時(shí)間；   jti(JWT ID)：是JWT的唯一標(biāo)識(shí)。   * @param req   * @param res   * @param chain   * @throws IOException   * @throws ServletException   */  @Override  public void doFilter(final ServletRequest req, final ServletResponse res, final FilterChain chain)      throws IOException, ServletException {    final HttpServletRequest request = (HttpServletRequest) req;    final HttpServletResponse response = (HttpServletResponse) res;    //等到請(qǐng)求頭信息authorization信息    final String authHeader = request.getHeader("authorization");    if ("OPTIONS".equals(request.getMethod())) {      response.setStatus(HttpServletResponse.SC_OK);      chain.doFilter(req, res);    } else {      if (authHeader == null || !authHeader.startsWith("bearer;")) {        throw new LoginException(ResultEnum.LOGIN_ERROR);      }      final String token = authHeader.substring(7);      try {        if(audience == null){          BeanFactory factory = WebApplicationContextUtils.getRequiredWebApplicationContext(request.getServletContext());          audience = (Audience) factory.getBean("audience");        }        final Claims claims = JwtHelper.parseJWT(token,audience.getBase64Secret());        if(claims == null){          throw new LoginException(ResultEnum.LOGIN_ERROR);        }        request.setAttribute(Constants.CLAIMS, claims);      } catch (final Exception e) {        throw new LoginException(ResultEnum.LOGIN_ERROR);      }      chain.doFilter(req, res);    }  }}

登錄處理，也就是jwt的頒發(fā)

@PostMapping("login")  public ResultVo login(@RequestParam(value = "usernameOrEmail", required = true) String usernameOrEmail,             @RequestParam(value = "password", required = true) String password,             HttpServletRequest request) {    Boolean is_email = MatcherUtil.matcherEmail(usernameOrEmail);    User user = new User();    if (is_email) {      user.setEmail(usernameOrEmail);    } else {      user.setUsername(usernameOrEmail);    }    User query_user = userService.get(user);    if (query_user == null) {      return ResultVOUtil.error("400", "用戶名或郵箱錯(cuò)誤");    }    //驗(yàn)證密碼    PasswordEncoder encoder = new BCryptPasswordEncoder();    boolean is_password = encoder.matches(password, query_user.getPassword());    if (!is_password) {      //密碼錯(cuò)誤，返回提示      return ResultVOUtil.error("400", "密碼錯(cuò)誤");    }       String jwtToken = JwtHelper.createJWT(query_user.getUsername(),                      query_user.getId(),                      query_user.getRole().toString(),                      audience.getClientId(),                      audience.getName(),                      audience.getExpiresSecond()*1000,                      audience.getBase64Secret());    String result_str = "bearer;" + jwtToken;    return ResultVOUtil.success(result_str);  }

這里將jwt的頒發(fā)處理抽離出來(lái)了，JWT工具類：

public class JwtHelper {  /**   * 解析jwt   */  public static Claims parseJWT(String jsonWebToken, String base64Security){    try    {      Claims claims = Jwts.parser()          .setSigningKey(DatatypeConverter.parseBase64Binary(base64Security))          .parseClaimsJws(jsonWebToken).getBody();      return claims;    }    catch(Exception ex)    {      return null;    }  }  /**   * 構(gòu)建jwt   */  public static String createJWT(String name, String userId, String role,                  String audience, String issuer, long TTLMillis, String base64Security)  {    SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;    long nowMillis = System.currentTimeMillis();    Date now = new Date(nowMillis);    //生成簽名密鑰    byte[] apiKeySecretBytes = DatatypeConverter.parseBase64Binary(base64Security);    Key signingKey = new SecretKeySpec(apiKeySecretBytes, signatureAlgorithm.getJcaName());    //添加構(gòu)成JWT的參數(shù)    JwtBuilder builder = Jwts.builder().setHeaderParam("typ", "JWT")        .claim("role", role)        .claim("unique_name", name)        .claim("userid", userId)        .setIssuer(issuer)        .setAudience(audience)        .signWith(signatureAlgorithm, signingKey);    //添加Token過期時(shí)間    if (TTLMillis >= 0) {      long expMillis = nowMillis + TTLMillis;      Date exp = new Date(expMillis);      builder.setExpiration(exp).setNotBefore(now);    }    //生成JWT    return builder.compact();  }}

最后，jwt可能會(huì)出現(xiàn)跨域的問題，所以最好添加一下對(duì)跨域的處理

@Configurationpublic class CorsConfig {  @Bean  public FilterRegistrationBean corsFilter() {    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();    CorsConfiguration config = new CorsConfiguration();    config.setAllowCredentials(true);    config.addAllowedOrigin("*");    config.addAllowedHeader("*");    config.addAllowedMethod("OPTIONS");    config.addAllowedMethod("HEAD");    config.addAllowedMethod("GET");    config.addAllowedMethod("PUT");    config.addAllowedMethod("POST");    config.addAllowedMethod("DELETE");    config.addAllowedMethod("PATCH");    source.registerCorsConfiguration("/**", config);    final FilterRegistrationBean bean = new FilterRegistrationBean(new CorsFilter(source));    bean.setOrder(0);    return bean;  }  @Bean  public WebMvcConfigurer mvcConfigurer() {    return new WebMvcConfigurerAdapter() {      @Override      public void addCorsMappings(CorsRegistry registry) {        registry.addMapping("/**").allowedMethods("GET", "PUT", "POST", "GET", "OPTIONS");      }    };  }}

關(guān)于SpringBoot中怎么利用JWT實(shí)現(xiàn)登錄驗(yàn)證問題的解答就分享到這里了，希望以上內(nèi)容可以對(duì)大家有一定的幫助，如果你還有很多疑惑沒有解開，可以關(guān)注億速云行業(yè)資訊頻道了解更多相關(guān)知識(shí)。