springboot+jwt实现token登陆权限认证的实现

一 前言

此篇文章的内容也是学习不久，终于到周末有时间码一篇文章分享知识追寻者的粉丝们，学完本篇文章，读者将对token类的登陆认证流程有个全面的了解，可以动态搭建自己的登陆认证过程；对小项目而已是个轻量级的认证机制，符合开发需求；

二 jwt实现登陆认证流程

• 用户使用账号和面发出post请求
• 服务器接受到请求后使用私钥创建一个jwt，这边会生成token
• 服务器返回这个jwt给浏览器
• 浏览器需要将带有token的jwt放入请求头
• 每次手到客户端请求，服务器验证该jwt的token
• 验证成功返回响应的资源给浏览器。否则异常处理
  

三 相关介绍jwt

3.1jwt 组成

jwt的token由三段信息构成的，将这三段信息文本用.连接一起就构成了jwt字符串；

• header 头部(包含了令牌的元数据，并且包含签名和或加密算法的类型)
• payload 负载
• signature 签名/签证

eyj0exaioijkv1qilcjhbgcioijiuzi1nij9.eyjlehaioje1odi4otc4ndusinvzzxjuyw1lijoienn6ehoifq.vyiexkfwccmqa3pfyl0jjfiiygwubngqb0wcgmthoxg

3.2 jwt优点

• 简洁(compact): 可以通过url，post参数或者在http header发送，数据量小，传输速度快
• 自包含(self-contained)：负载中包含了所有用户所需要的信息，避免多次查询数据库
• .因为token是以json加密的形式保存在客户端的，所以jwt是跨语言支持；
• 不需要在服务端保存会话信息，适用于分布式与微服务；

四 jwt用户登陆发放token

4.1 pom.xml

项目构件如下

• springboot 2.1;
• jwt 3.4.0;
• maven 3.5
• jdk1.8
• postman接口测试

<dependencies>
  <dependency>
   <groupid>org.springframework.boot</groupid>
   <artifactid>spring-boot-starter-web</artifactid>
  </dependency>
  <dependency>
   <groupid>com.auth0</groupid>
   <artifactid>java-jwt</artifactid>
   <version>3.4.0</version>
  </dependency>
  <dependency>
   <groupid>org.projectlombok</groupid>
   <artifactid>lombok</artifactid>
   <optional>true</optional>
  </dependency>
 </dependencies>

4.2jwt工具类

jwt工具类中有三个方法，分别是生成数字签名用于用户首次登陆时发送jwt给客户端；其次是校验方法，用于拦截器拦截所有规则内的url，每个请求都必须带有服务器发送的jwt，经过验证后才放行请求；最后一个获得用户名的方法用于查询密钥，在验证jwt时作为参数传入；

/* *
 * @author lsc
 * <p> jwt工具类 </p>
 * @param
 * @return
 */
public class jwtutil {

 // token过期时间30分钟
 public static final long expire_time = 30 * 60 * 1000;

 /* *
 * @author lsc
 * <p> 校验token是否正确 </p>
 * @param token
 * @param username
 * @param secret
 * @return boolean
 */
 public static boolean verify(string token, string username, string secret) {
 try {
 // 设置加密算法
 algorithm algorithm = algorithm.hmac256(secret);
 jwtverifier verifier = jwt.require(algorithm)
  .withclaim("username", username)
  .build();
 // 效验token
 decodedjwt jwt = verifier.verify(token);
 return true;
 } catch (exception exception) {
 return false;
 }
 }

 /* *
 * @author lsc
 * <p>生成签名,30min后过期 </p>
 * @param [username, secret]
 * @return java.lang.string
 */
 public static string sign(string username, string secret) {
 date date = new date(system.currenttimemillis() + expire_time);
 algorithm algorithm = algorithm.hmac256(secret);
 // 附带username信息
 return jwt.create()
 .withclaim("username", username)
 .withexpiresat(date)
 .sign(algorithm);

 }

 /* *
 * @author lsc
 * <p> 获得用户名 </p>
 * @param [request]
 * @return java.lang.string
 */
 public static string getusernamebytoken(httpservletrequest request) {
 string token = request.getheader("token");
 decodedjwt jwt = jwt.decode(token);
 return jwt.getclaim("username")
 .asstring();
 }
}

4.3 用户实体

实体中包含用户名，和密码，一切从简；

/**
 * @author lsc
 * <p> </p>
 */
@data
public class sysuser {
 private string username;
 private string password;
}

4.4controller

表现层代码用户用户登陆认证，认证成功后发放token给客户端；

/**
 * @author lsc
 * <p> </p>
 */
@restcontroller
public class sysusercontroller {

 @postmapping(value = "/login")
 public map<string, object> login(@requestbody sysuser sysuser){
  map<string, object> map = new hashmap<>();
  string username = sysuser.getusername();
  string password = sysuser.getpassword();
  // 省略 账号密码验证
  // 验证成功后发送token
  string token = jwtutil.sign(username,password);
  if (token != null){
   map.put("code", "200");
   map.put("message","认证成功");
   map.put("token", token);
   return map;
  }
  map.put("code", "403");
  map.put("message","认证失败");
  return map;
 }
}

4.5 测试

测试url http://localhost:8080/login

postman post请求测试参数如下

{
 "username": "zszxz",
 "password": "zszxz"
}

返回内容如下

{
 "code": "200",
 "message": "认证成功",
 "token": "eyj0exaioijkv1qilcjhbgcioijiuzi1nij9.eyjlehaioje1odi4otc4ndusinvzzxjuyw1lijoienn6ehoifq.vyiexkfwccmqa3pfyl0jjfiiygwubngqb0wcgmthoxg"
}

五 jwt登陆拦截认证

基于前面已经实现jwt登录认证后发放token给客户端；本节内容就是将token放入请求头中发送请求给服务器；服务器使用拦截器拦截请求对token进行验证；验证成功请求通过，否则请求资源失败；

5.1自定义拦截器

自定义拦截器jwtinterceptor，实现handlerinterceptor接口，每次请求到达之前都会验证token是否有效；

/**
 * @author lsc
 * <p>token验证拦截器 </p>
 */
@component
public class jwtinterceptor implements handlerinterceptor {

 @autowired
 sysuserservice sysuserservice;

 @override
 public boolean prehandle(httpservletrequest request, httpservletresponse response, object handler) throws exception {
  // 从 http 请求头中取出 token
  string token = request.getheader("token");
  // 如果不是映射到方法直接通过
  if(!(handler instanceof handlermethod)){
   return true;
  }
  if (token != null){
   string username = jwtutil.getusernamebytoken(request);
   // 这边拿到的 用户名 应该去数据库查询获得密码，简略，步骤在service直接获取密码
   boolean result = jwtutil.verify(token,username,sysuserservice.getpassword());
   if(result){
    system.out.println("通过拦截器");
    return true;
   }
  }
  return false;
 }

 @override
 public void posthandle(httpservletrequest request, httpservletresponse response, object handler, modelandview modelandview) throws exception {

 }

 @override
 public void aftercompletion(httpservletrequest request, httpservletresponse response, object handler, exception ex) throws exception {

 }
}

5.2 service

/**
 * @author lsc
 * <p> 模拟查询数据库获得账号密码 </p>
 */
@service
public class sysuserservice {


 public string getpassword(){
  return "zszxz";
 }
}

5.3拦截器配置

拦截器配置中主要定义拦截请求规则，将拦截器注入webmvcconfigurer；cors跨域处理；

/* *
 * @author lsc
 * <p>拦截器配置 </p>
 * @param
 * @return
 */
@configuration
public class interceptorconfig implements webmvcconfigurer {

 /* *
  * @author lsc
  * <p> 设置拦截路径 </p>
  * @param [registry]
  * @return void
  */
 @override
 public void addinterceptors(interceptorregistry registry) {
  registry.addinterceptor(authenticationinterceptor())
    .addpathpatterns("/**")
    .excludepathpatterns("/login");
 }
 /* *
  * @author lsc
  * <p> 将拦截器注入context </p>
  * @param []
  * @return com.zszxz.jwt.interceptor.jwtinterceptor
  */
 @bean
 public jwtinterceptor authenticationinterceptor() {
  return new jwtinterceptor();
 }

 /* *
  * @author lsc
  * <p>跨域支持 </p>
  * @param [registry]
  * @return void
  */
 @override
 public void addcorsmappings(corsregistry registry) {
  registry.addmapping("/**")
    .allowedorigins("*")
    .allowcredentials(true)
    .allowedmethods("get", "post", "delete", "put", "patch", "options", "head")
    .maxage(3600 * 24);
 }
}

5.4controller

表现层接口用于拦截亲求测试

/**
 * @author lsc
 * <p> </p>
 */
@restcontroller
public class testcontroller {

 @getmapping(value = "/api/test")
 public string get(){

  return "zszxz";
 }
}

5.5 测试

测试url http://localhost:8080/api/test

发送get请求给服务器，带有请求头,key为token,value为用户首次登陆时返回的token串；

测试返回内容如下

zszxz

六 官网链接

到此这篇关于springboot+jwt实现token登陆权限认证的实现的文章就介绍到这了,更多相关springboot jwt token登陆权限 内容请搜索以前的文章或继续浏览下面的相关文章希望大家以后多多支持！