SpringBoot Security+JWT簡單搭建的實現(xiàn)示例

更新時間：2025年09月02日 10:59:30 作者：現(xiàn)在沒有牛仔了

本文介紹在Spring Boot 2.6.13項目中集成Security與JWT實現(xiàn)認證鑒權的方法,文中通過示例代碼介紹的非常詳細,對大家的學習或者工作具有一定的參考學習價值,需要的朋友們下面隨著小編來一起學習學習吧

SpringBoot Security是Spring官方提供的一個安全框架，他的核心功能是對系統(tǒng)用戶進行認證和鑒權，也經(jīng)常在項目中被使用到，本文不介紹其太過深入的內容，只介紹如何實現(xiàn)并完成認證和鑒權的測試。主要分三步來實現(xiàn)：

配置JWT
配置Security
編寫測試相關代碼

首先創(chuàng)建一個springboot項目，我的版本是2.6.13，依然是java8，整合Security+JWT需要用到的Maven依賴如下：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>
<!--jwt-->
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt</artifactId>
    <version>0.9.1</version>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
</dependency>
<dependency>
    <groupId>org.projectlombok</groupId>
    <artifactId>lombok</artifactId>
</dependency>

配置JWT

先在yml配置文件中添加jwt相關配置

jwt:
    expiration: 3600000 //token過期時間，1個小時
    tokenHeader: Authorization //token在header中的屬性名
    secret: jwt-token-secret  //生成token的密鑰

創(chuàng)建jwt工具類，方便實現(xiàn)根據(jù)用戶信息生成token，以及通過token中獲取用戶信息

@Component
@Data
public class JwtTokenUtil implements Serializable {
    private static final long serialVersionUID = -3301605591108950415L;
    @Value("${jwt.secret}")
    private  String secret;
    @Value("${jwt.expiration}")
    private Long expiration;

    private Clock clock = DefaultClock.INSTANCE;
    //根據(jù)用戶信息生成token
    public String generateToken(UserDetails userDetails) {
        Map<String, Object> claims = new HashMap<>();
        return doGenerateToken(claims, userDetails.getUsername());
    }

    private String doGenerateToken(Map<String, Object> claims, String subject) {
        final Date createdDate = clock.now();
        final Date expirationDate = calculateExpirationDate(createdDate);

        return Jwts.builder()
                .setClaims(claims)
                .setSubject(subject)
                .setIssuedAt(createdDate)
                .setExpiration(expirationDate)
                .signWith(SignatureAlgorithm.HS512, secret)
                .compact();
    }

    private Date calculateExpirationDate(Date createdDate) {
        return new Date(createdDate.getTime() + expiration);
    }

    public Boolean validateToken(String token, UserDetails userDetails) {
        SecurityUserDetails user = (SecurityUserDetails) userDetails;
        final String username = getUsernameFromToken(token);
        return (username.equals(user.getUsername())
                && !isTokenExpired(token)
        );
    }
    //通過token獲取用戶名username
    public String getUsernameFromToken(String token) {
        return getClaimFromToken(token, Claims::getSubject);
    }

    public <T> T getClaimFromToken(String token, Function<Claims, T> claimsResolver) {
        final Claims claims = getAllClaimsFromToken(token);
        return claimsResolver.apply(claims);
    }

    private Claims getAllClaimsFromToken(String token) {
        return Jwts.parser()
                .setSigningKey(secret)
                .parseClaimsJws(token)
                .getBody();
    }


    private Boolean isTokenExpired(String token) {
        final Date expiration = getExpirationDateFromToken(token);
        return expiration.before(clock.now());
    }

    public Date getExpirationDateFromToken(String token) {
        return getClaimFromToken(token, Claims::getExpiration);
    }

}

配置Security

編寫一個存儲用戶信息的UserDetails的實現(xiàn)類

@Data
public class SysUser {
    private Integer id;
    private String username;
    private String password;
}

@Data
@EqualsAndHashCode
@Accessors(chain = true) //實現(xiàn)鏈式set方法
public class SecurityUserDetails extends SysUser implements UserDetails {
    //權限列表
    private Collection<? extends GrantedAuthority> authorities;
    public SecurityUserDetails(String userName,Collection<? extends GrantedAuthority> authorities){
        this.setUsername(userName);
        String encode = new BCryptPasswordEncoder().encode("123456");
        this.setPassword(encode);
        this.setAuthorities(authorities);
    }
    /**
     * 下面這些都返回true
     * @return
     */
    @Override
    public boolean isAccountNonExpired() {
        return true;
    }
    @Override
    public boolean isAccountNonLocked() {
        return true;
    }
    @Override
    public boolean isCredentialsNonExpired() {
        return true;
    }
    @Override
    public boolean isEnabled() {
        return true;
    }
}

提示
因為只是記錄一下如何實現(xiàn)security+jwt，所以沒有從數(shù)據(jù)庫中讀取真實的用戶信息，而是直接將用戶信息和權限信息寫死測試。

重寫UserDetailsService的loadUserByUsername方法實現(xiàn)具體的認證授權邏輯

@Service
public class JwtUserDetailsServiceImpl implements UserDetailsService {
    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        List<GrantedAuthority> authorityList = new ArrayList<>();
        authorityList.add(new SimpleGrantedAuthority("ROLE_USER"));
        return new SecurityUserDetails(username,authorityList);
    }
}

提示
這里直接把用戶的權限寫死，ROLE_USER表示用戶擁有USER權限，因為權限都是以ROLE_開頭的。

緊接著創(chuàng)建一個用戶請求的過濾器，用來攔截用戶請求，分析用戶有沒有該請求的權限

@Component
public class JwtAuthorizationTokenFilter extends OncePerRequestFilter {
    private final UserDetailsService userDetailsService;
    private final JwtTokenUtil jwtTokenUtil;
    private final String tokenHeader;

    public JwtAuthorizationTokenFilter(@Qualifier("jwtUserDetailsServiceImpl") UserDetailsService userDetailsService,
                                       JwtTokenUtil jwtTokenUtil,
                                       @Value("${jwt.tokenHeader}") String tokenHeader){
        this.userDetailsService = userDetailsService;
        this.jwtTokenUtil = jwtTokenUtil;
        this.tokenHeader = tokenHeader;
    }

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
        final String requestHeader = request.getHeader(this.tokenHeader);
        String username = null;
        String authToken = null;
        if(requestHeader != null && requestHeader.startsWith("Bearer ")){
            authToken = requestHeader.substring(7);
            try {
                username = jwtTokenUtil.getUsernameFromToken(authToken);
            }catch (ExpiredJwtException e){
                e.printStackTrace();
            }
        }

        if(username!=null&& SecurityContextHolder.getContext().getAuthentication() == null){
            UserDetails userDetails = this.userDetailsService.loadUserByUsername(username);
            if(jwtTokenUtil.validateToken(authToken,userDetails)){
                UsernamePasswordAuthenticationToken authentication = new UsernamePasswordAuthenticationToken(userDetails,null,userDetails.getAuthorities());
                SecurityContextHolder.getContext().setAuthentication(authentication);
            }
        }
        filterChain.doFilter(request,response);
    }
}

提示
Bearer 必須帶空格，第二個if判斷就是為了加載到用戶的信息，并且在Security上下文中存儲用戶及用戶的權限的信息

實現(xiàn)AuthenticationEntryPoint接口的commence方法，當請求沒有攜帶認證信息或者說認證失敗時，使用我們自己編寫的處理邏輯。

@Component
public class JwtAuthenticationEntryPoint implements AuthenticationEntryPoint {
    @Override
    public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) throws IOException, ServletException {
        response.sendError(HttpServletResponse.SC_UNAUTHORIZED);
    }
}

提示
如果請求沒有攜帶認證信息或者說認證失敗時，會返回給客戶端401，如果不重寫commence方法，默認返回403

接下來編寫Security的核心配置類，重寫WebSecurityConfigurerAdapter中的configure方法

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    JwtAuthenticationEntryPoint jwtAuthenticationEntryPoint;
    @Autowired
    JwtUserDetailsServiceImpl jwtUserDetailsService;
    @Autowired
    JwtAuthorizationTokenFilter authenticationTokenFilter;
    @Autowired
    @Lazy
    PasswordEncoder passwordEncoder;

    @Bean
    @Override
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .exceptionHandling().authenticationEntryPoint(jwtAuthenticationEntryPoint)
                .and()
                .authorizeRequests()
                .antMatchers("/login").permitAll()
                .antMatchers(HttpMethod.OPTIONS, "/**").anonymous()
                .anyRequest().authenticated() //除上面以外的都攔截
                .and()
                .csrf().disable() //禁用security自帶的跨域處理
                //讓Security不使用session
                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
        http.addFilterBefore(authenticationTokenFilter, UsernamePasswordAuthenticationFilter.class);

    }

    @Bean
    public PasswordEncoder passwordEncoderBean() {
        return new BCryptPasswordEncoder();
    }

    /**
     * 認證邏輯配置
     */
    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(jwtUserDetailsService).passwordEncoder(passwordEncoder);
    }
}

提示
上面的代碼中，.exceptionHandling().authenticationEntryPoint(jwtAuthenticationEntryPoint)表示使用自定義的認證失敗處理邏輯。并且配置類中，自定義了用戶密碼的加密方式，configureGlobal方法設置自定義的loadUserByUsername方法實現(xiàn)和校驗密碼校驗的加密方式。

編寫測試相關代碼

編寫一個不需要認證授權就能訪問的登錄接口/login

@RestController
public class LoginController {
    @Autowired
    @Qualifier("jwtUserDetailsServiceImpl")
    private UserDetailsService userDetailsService;
    @Autowired
    private JwtTokenUtil jwtTokenUtil;

    @PostMapping("/login")
    public String login(@RequestBody SysUser sysUser, HttpServletRequest request){
        final UserDetails userDetails = userDetailsService.loadUserByUsername(sysUser.getUsername());
        final String token = jwtTokenUtil.generateToken(userDetails);
        return token;
    }
}

編寫一個需要USER權限的接口/sys/testUser

@RestController
@RequestMapping("/sys")
public class SysUserController {
    @PreAuthorize("hasAnyRole('USER')")
    @PostMapping(value = "/testUser")
    public String testNeed() {
        return "hello world";
    }
}

測試

啟動SpringBoot項目，對上面的接口進行測試，首先調用/login接口登錄并獲取token

請求成功并獲取到jwt生成的token。緊接著調用需要USER權限的/testUser，請求時要在請求頭里面攜帶token

請求成功！

現(xiàn)在來測試一下失敗的情況，不傳token直接請求

請求失敗，返回401，表示沒有認證。再來測試一下如果將@PreAuthorize("hasAnyRole('USER')")中的權限改為Admin，然后用剛剛生成的token去請求

@PreAuthorize("hasAnyRole('Admin')")
@PostMapping(value = "/testUser")
public String testNeed() {
    return "hello world";
}

由于token中包含的授權信息是USER，所以將@PreAuthorize("hasAnyRole('USER')")中的USER改為Admin后，返回了403，表示沒有這個權限。

到此這篇關于SpringBoot Security+JWT簡單搭建的實現(xiàn)示例的文章就介紹到這了,更多相關SpringBoot Security JWT搭建內容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關文章希望大家以后多多支持腳本之家！

您可能感興趣的文章:

SpringBoot實現(xiàn)給屬性賦值的兩種方式
在Spring Boot中,配置文件是用來設置應用程序的各種參數(shù)和操作模式的重要部分,Spring Boot支持兩種主要類型的配置文件：properties文件和YAML 文件,這兩種文件都可以用來定義相同的配置,接下來由小編給大家詳細的介紹一下這兩種方式
2024-07-07
Spring中@EnableScheduling注解的工作原理詳解
這篇文章主要介紹了Spring中@EnableScheduling注解的工作原理詳解,@EnableScheduling是 Spring Framework 提供的一個注解,用于啟用Spring的定時任務(Scheduling)功能,需要的朋友可以參考下
2024-01-01
JavaWeb實現(xiàn)學生信息管理系統(tǒng)(1)
這篇文章主要為大家詳細介紹了JavaWeb實現(xiàn)學生信息管理系統(tǒng)第一篇，文中示例代碼介紹的非常詳細，具有一定的參考價值，感興趣的小伙伴們可以參考一下
2021-08-08
每天練一練Java函數(shù)與算法Math函數(shù)總結與字符串轉換整數(shù)
這篇文章主要介紹了Java函數(shù)與算法Math函數(shù)總結與字符串轉換整數(shù),每天練一練,水平在不知不覺中提高,需要的朋友快過來看看吧
2021-08-08
java中刪除數(shù)組中的指定元素方法
下面小編就為大家?guī)硪黄猨ava中刪除數(shù)組中的指定元素方法。小編覺得挺不錯的，現(xiàn)在就分享給大家，也給大家做個參考。一起跟隨小編過來看看吧
2017-01-01
SpringBoot+log4j2.xml使用application.yml屬性值問題
這篇文章主要介紹了SpringBoot+log4j2.xml使用application.yml屬性值問題,具有很好的參考價值,希望對大家有所幫助,如有錯誤或未考慮完全的地方,望不吝賜教
2023-12-12
深入學習java位運算的基礎知識
位運算是直接對整數(shù)在內存中的二進制位進行操作嗎,位運算即可以節(jié)約內存,同時使程序速度更快效率更高。文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值，下面我們來一起學習下吧
2019-06-06
clickhouse?批量插入數(shù)據(jù)及ClickHouse常用命令詳解
這篇文章主要介紹了clickhouse?批量插入數(shù)據(jù)及ClickHouse常用命令,本文給大家介紹的非常詳細，對大家的學習或工作具有一定的參考借鑒價值，需要的朋友可以參考下
2022-03-03
maven打包本地jar到項目中的方法實現(xiàn)
本文主要介紹了maven打包本地jar到項目中的方法實現(xiàn)，文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值，需要的朋友們下面隨著小編來一起學習學習吧
2023-06-06
java數(shù)組輸出的實例代碼
這篇文章主要介紹了java數(shù)組輸出的實例代碼，有需要的朋友可以參考一下
2013-12-12