SpringSecurity和jwt實(shí)現(xiàn)登錄及權(quán)限認(rèn)證功能

更新時(shí)間：2025年11月27日 09:26:58 作者：q***7219

本文介紹了如何使用SpringSecurity和JWT實(shí)現(xiàn)系統(tǒng)的登錄和權(quán)限控制,包括JWT的工作原理、RBAC角色權(quán)限管理、數(shù)據(jù)庫(kù)設(shè)計(jì)、攔截器實(shí)現(xiàn)、登錄接口和權(quán)限驗(yàn)證的代碼示例,感興趣的朋友跟隨小編一起看看吧

系列文章目錄

spring security+jwt安全方案

前言

前面我們已經(jīng)通過(guò)使用springboot框架獲得了管理數(shù)據(jù)的基本能力，但是一個(gè)系統(tǒng)不和或缺的功能是安全登錄。
這里我們以springsecurity+jwt方案實(shí)現(xiàn)登錄以及權(quán)限控制。

一、springsecurity+jwt方案

提示：這里是對(duì)該方案的原理簡(jiǎn)介
一個(gè)安全的系統(tǒng)是需要對(duì)請(qǐng)求身份進(jìn)行認(rèn)證的。

但是http協(xié)議是無(wú)狀態(tài)的，所以需要對(duì)每次的請(qǐng)求進(jìn)行校驗(yàn)。

以下是jwt方案流程圖，我們以現(xiàn)實(shí)生活為例。當(dāng)我們被一個(gè)學(xué)校錄取，我們?cè)陂_(kāi)學(xué)的時(shí)候需要提供身份證（類(lèi)比賬號(hào)密碼），學(xué)校就會(huì)發(fā)放一個(gè)學(xué)生證（類(lèi)比jwt令牌），這樣我們每次進(jìn)學(xué)校帶學(xué)生證就行了（每次使用系統(tǒng)帶jwt就行了）

二、權(quán)限控制RBAC

提示：這里是對(duì)登錄的細(xì)化，即權(quán)限功能
登錄系統(tǒng)的人并不只是一個(gè)人，以下為RBAC的數(shù)據(jù)庫(kù)設(shè)計(jì)圖。

我們依然以現(xiàn)實(shí)世界為例，一個(gè)教務(wù)系統(tǒng)，有很多用戶(hù)（user)；其中有兩種身份（role）：老師和學(xué)生；老師和學(xué)生擁有不一樣的功能（menu），老師可以改卷子打分等等。

三、實(shí)現(xiàn)

我們以該圖為例，該流程即為需要實(shí)現(xiàn)的。

1.RBAC數(shù)據(jù)庫(kù)實(shí)現(xiàn)

這里請(qǐng)自行搜索RBAC的sql代碼

2.攔截器實(shí)現(xiàn)

給系統(tǒng)套上一層攔截功能即是security實(shí)現(xiàn)的功能，這里先實(shí)現(xiàn)接口放行
在maven添加以下依賴(lài)后：

        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>

系統(tǒng)會(huì)自動(dòng)生成一個(gè)登錄頁(yè)面，我們需要做的就是給登錄接口放行，其他接口攔截的配置
參考以下配置

package com.nie.sportserver.config;
import com.nie.sportserver.Interceptor.JwtTokenAdminInterceptor;
import com.nie.sportserver.exception.MyAccessDeniedHandler;
import com.nie.sportserver.exception.MyAuthenticationEntryPoint;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.config.http.SessionCreationPolicy;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;
import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.UrlBasedCorsConfigurationSource;
import org.springframework.web.filter.CorsFilter;
import java.time.Duration;
import java.util.Arrays;
@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Autowired
    MyAccessDeniedHandler myAccessDeniedHandler;
    @Autowired
    MyAuthenticationEntryPoint myAuthenticationEntryPoint;
    @Autowired
    JwtTokenAdminInterceptor jwtTokenAdminInterceptor;
    //加密算法
    @Bean
    public PasswordEncoder passwordEncoder(){
        return new BCryptPasswordEncoder();
    }
    //security配置跨域
    @Bean
    public CorsFilter corsFilter() {
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        CorsConfiguration corsConfiguration = new CorsConfiguration();
        corsConfiguration.addAllowedOriginPattern("*");
        corsConfiguration.addAllowedHeader("*");
        corsConfiguration.addAllowedMethod("*");
        corsConfiguration.setAllowCredentials(true);
        source.registerCorsConfiguration("/**", corsConfiguration);
        return new CorsFilter(source);
    }
    //配置安全攔截
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.cors().and().csrf().disable()//關(guān)閉csrf
                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
                //不通過(guò)Session獲取Securitycontext
                .and()//配置異常處理
                .exceptionHandling()
                .authenticationEntryPoint(myAuthenticationEntryPoint)
                .accessDeniedHandler(myAccessDeniedHandler)
                .and()
                .authorizeRequests()
                //接口匿名訪(fǎng)問(wèn)
                .antMatchers("/doc.html",
                        "/favicon.ico",
                        "/v2/api-docs",
                        "/swagger-resources/**",
                        "/webjars/**","/user/login").anonymous()//攜帶token了就無(wú)法訪(fǎng)問(wèn)了
                .anyRequest().authenticated();
        http.addFilterBefore(jwtTokenAdminInterceptor, UsernamePasswordAuthenticationFilter.class);
    }
    //暴露認(rèn)證方法變?yōu)閎ean對(duì)象
    @Bean
    @Override
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }
}

關(guān)鍵在于以下代碼

                .antMatchers("/doc.html",
                        "/favicon.ico",
                        "/v2/api-docs",
                        "/swagger-resources/**",
                        "/webjars/**","/user/login").anonymous()

3.登錄接口實(shí)現(xiàn)

由于之前已經(jīng)實(shí)現(xiàn)了放行，我們只需要完成查詢(xún)數(shù)據(jù)庫(kù)，并且將數(shù)據(jù)生成jwt即可
在上面的配置中，我們已經(jīng)把認(rèn)證方法暴露為bean對(duì)象，我們實(shí)現(xiàn)該方法即可

    //暴露認(rèn)證方法變?yōu)閎ean對(duì)象
    @Bean
    @Override
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }

示例如下

package com.nie.sportserver.service.impl;
import com.nie.sportpojo.entity.LoginUser;
import com.nie.sportpojo.entity.User;
import com.nie.sportserver.mapper.LoginMapper;
import com.nie.sportserver.mapper.UserMapper;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.core.userdetails.UsernameNotFoundException;
import org.springframework.stereotype.Service;
import java.util.ArrayList;
import java.util.Arrays;
import java.util.List;
@Service
public class UserDetailServiceImpl implements UserDetailsService {
    @Autowired
    private LoginMapper loginMapper;
    @Autowired
    private UserMapper userMapper;
    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        //查詢(xún)用戶(hù)信息
        User user = loginMapper.getByUserName(username);
        //把數(shù)據(jù)封裝為UserDetail返回
        //todo 查詢(xún)對(duì)應(yīng)的權(quán)限信息
        List<String> list = new ArrayList<>(userMapper.selectPermsByUserId(user.getId()));
        LoginUser loginUser = new LoginUser(user,list);
        return loginUser;
    }
}

4.攔截器實(shí)現(xiàn)

在前面的配置中，我們已經(jīng)將普通請(qǐng)求攔截了，并且使用攔截器

    @Autowired
    JwtTokenAdminInterceptor jwtTokenAdminInterceptor;

這里來(lái)實(shí)現(xiàn)攔截器

package com.nie.sportserver.Interceptor;
import com.nie.sportcommon.utills.JwtUtil;
import com.nie.sportpojo.entity.LoginUser;
import com.nie.sportpojo.entity.User;
import com.nie.sportserver.mapper.LoginMapper;
import com.nie.sportserver.mapper.UserMapper;
import com.nie.sportserver.properties.JwtProperties;
import io.jsonwebtoken.Claims;
import lombok.extern.slf4j.Slf4j;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.stereotype.Component;
import org.springframework.util.StringUtils;
import org.springframework.web.filter.OncePerRequestFilter;
import javax.servlet.FilterChain;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.util.ArrayList;
import java.util.Arrays;
import java.util.List;
@Component
@Slf4j
public class JwtTokenAdminInterceptor extends OncePerRequestFilter {
    @Autowired
    private JwtProperties jwtProperties;
    @Autowired
    private LoginMapper loginMapper;
    @Autowired
    private UserMapper userMapper;
    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
        String requestURI = request.getRequestURI();
        //從請(qǐng)求頭中獲取令牌
        String token = request.getHeader(jwtProperties.getAdminTokenName());
        if (!StringUtils.hasText((token))) {
            filterChain.doFilter(request, response);
            return;
        }
        //校驗(yàn)令牌
        Long userId;
        try {
            log.info("jwt校驗(yàn){}", token);
            //token解析
            Claims claims = JwtUtil.parseJWT(jwtProperties.getAdminSecretKey(), token);
            userId = Long.valueOf(claims.get("userId").toString());
            log.info("當(dāng)前用戶(hù)id:{}", userId);
        } catch (Exception ex) {
            throw new RuntimeException("token非法");
        }
        User user = loginMapper.getByUserId(userId);
        List<String> list = new ArrayList<>(userMapper.selectPermsByUserId(user.getId()));
        LoginUser loginUser = new LoginUser(user,list);
        UsernamePasswordAuthenticationToken usernamePasswordAuthenticationToken = new UsernamePasswordAuthenticationToken(loginUser,null,loginUser.getAuthorities());
        SecurityContextHolder.getContext().setAuthentication(usernamePasswordAuthenticationToken);
        //放行
        filterChain.doFilter(request, response);
    }
}

其他工具類(lèi)

jwt依賴(lài)

        <dependency>
            <groupId>io.jsonwebtoken</groupId>
            <artifactId>jjwt</artifactId>
            <version>0.9.1</version>
        </dependency>

jwt工具類(lèi)

package com.nie.sportcommon.utills;
import io.jsonwebtoken.Claims;
import io.jsonwebtoken.JwtBuilder;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import java.nio.charset.StandardCharsets;
import java.util.Date;
import java.util.Map;
public class JwtUtil {
    /**
     * 生成jwt
     * 使用Hs256算法, 私匙使用固定秘鑰
     *
     * @param secretKey jwt秘鑰
     * @param ttlMillis jwt過(guò)期時(shí)間(毫秒)
     * @param claims    設(shè)置的信息
     * @return
     */
    public static String createJWT(String secretKey, long ttlMillis, Map<String, Object> claims) {
        // 指定簽名的時(shí)候使用的簽名算法，也就是header那部分
        SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;
        // 生成JWT的時(shí)間
        long expMillis = System.currentTimeMillis() + ttlMillis;
        Date exp = new Date(expMillis);
        // 設(shè)置jwt的body
        JwtBuilder builder = Jwts.builder()
                // 如果有私有聲明，一定要先設(shè)置這個(gè)自己創(chuàng)建的私有的聲明，這個(gè)是給builder的claim賦值，一旦寫(xiě)在標(biāo)準(zhǔn)的聲明賦值之后，就是覆蓋了那些標(biāo)準(zhǔn)的聲明的
                .setClaims(claims)
                // 設(shè)置簽名使用的簽名算法和簽名使用的秘鑰
                .signWith(signatureAlgorithm, secretKey.getBytes(StandardCharsets.UTF_8))
                // 設(shè)置過(guò)期時(shí)間
                .setExpiration(exp);
        return builder.compact();
    }
    /**
     * Token解密
     *
     * @param secretKey jwt秘鑰 此秘鑰一定要保留好在服務(wù)端, 不能暴露出去, 否則sign就可以被偽造, 如果對(duì)接多個(gè)客戶(hù)端建議改造成多個(gè)
     * @param token     加密后的token
     * @return
     */
    public static Claims parseJWT(String secretKey, String token) {
        // 得到DefaultJwtParser
        Claims claims = Jwts.parser()
                // 設(shè)置簽名的秘鑰
                .setSigningKey(secretKey.getBytes(StandardCharsets.UTF_8))
                // 設(shè)置需要解析的jwt
                .parseClaimsJws(token).getBody();
        return claims;
    }
}

權(quán)限

權(quán)限認(rèn)證使用 @PreAuthorize(“hasAuthority(‘’)”)注解

總結(jié)

本文對(duì)jwt登錄校驗(yàn)，權(quán)限管理的原理簡(jiǎn)單描述，并且提供了實(shí)現(xiàn)方案

到此這篇關(guān)于SpringSecurity+jwt實(shí)現(xiàn)登錄及權(quán)限認(rèn)證功能的文章就介紹到這了,更多相關(guān)SpringSecurity jwt權(quán)限認(rèn)證內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！

您可能感興趣的文章:

最新国产好看的视频,伊人天堂AV在线,国产Aaaaaa视频,蜜臀视频在线观看一区,人妻av色图,密臀久久久精品影片,青青视频免费观看毛片,久草在线观看视,国产三级精品色情在线

SpringSecurity和jwt實(shí)現(xiàn)登錄及權(quán)限認(rèn)證功能

目錄

系列文章目錄

前言

一、springsecurity+jwt方案

二、權(quán)限控制RBAC

三、實(shí)現(xiàn)

1.RBAC數(shù)據(jù)庫(kù)實(shí)現(xiàn)

2.攔截器實(shí)現(xiàn)

3.登錄接口實(shí)現(xiàn)

4.攔截器實(shí)現(xiàn)

其他工具類(lèi)

jwt依賴(lài)

權(quán)限

總結(jié)

相關(guān)文章

最新評(píng)論

大家感興趣的內(nèi)容

最近更新的內(nèi)容

常用在線(xiàn)小工具

最新国产好看的视频,伊人天堂AV在线,国产Aaaaaa视频,蜜臀视频在线观看一区,人妻av色图,密臀久久久精品影片,青青视频免费观看毛片,久草在线观看视,国产三级精品色情在线

SpringSecurity和jwt實(shí)現(xiàn)登錄及權(quán)限認(rèn)證功能

目錄

系列文章目錄

前言

一、springsecurity+jwt方案

二、權(quán)限控制RBAC

三、實(shí)現(xiàn)

1.RBAC數(shù)據(jù)庫(kù)實(shí)現(xiàn)

2.攔截器實(shí)現(xiàn)

3.登錄接口實(shí)現(xiàn)

4.攔截器實(shí)現(xiàn)

其他工具類(lèi)

jwt依賴(lài)

權(quán)限

總結(jié)

相關(guān)文章

最新評(píng)論

大家感興趣的內(nèi)容

最近更新的內(nèi)容

常用在線(xiàn)小工具

一、springsecurity+jwt方案

三、實(shí)現(xiàn)