在Spring
Security中启用JWT（JSON Web Tokens）支持，你需要做以下几个步骤：
1
. 添加依赖：首先，确保你的项目Maven或Gradle配置文件中有Spring
Security JWT的相关依赖。对于Maven，添加以下依赖到`pom
.xml`：
```xml
<dependency>
<groupId>
org.springframework.boot</groupId>
<artifactId>spring-boot-starter-
security</artifactId>
</dependency>
<dependency>
<groupId>io
.jsonwebtoken</groupId>
<artifactId>jjwt</artifactId>
<version>0
.9
.1</version> <!-- 或者最新的稳定版本 -->
</dependency>
```
如果你使用Gradle，添加到`build
.gradle`：
```groovy
implementation '
org.springframework.boot
:spring-boot-starter-
security'
implementation 'io
.jsonwebtoken
:jjwt
:0
.9
.1' // 或者最新的稳定版本
```
2
. 配置Spring
Security：在Spring Boot应用的主配置类（通常是`Application
.java`或`AppConfig
.java`）中，添加JWT过滤器。例如，你可以创建一个JWTFilter并将其加入到
Security Configuration的`Web
SecurityConfigurerAdapter`
中的`Http
Security`链中：
```
java
import
org.springframework.beans
.factory
.annotation
.Autowired;
import
org.springframework.context
.annotation
.Bean;
import
org.springframework.security.config
.annotation
.web
.builders
.Http
Security;
import
org.springframework.security.config
.annotation
.web
.configuration
.Web
SecurityConfigurerAdapter;
import
org.springframework.security.core
.u
serdetails
.U
serDetails
Service;
import
org.springframework.security.crypto.bcrypt
.BCrypt
PasswordEncoder;
import
org.springframework.security.crypto.password.PasswordEncoder;
import
org.springframework.security.web
.authentication
.U
sername
PasswordAuthenticationFilter;
public class
SecurityConfig extends Web
SecurityConfigurerAdapter {
private final U
serDetails
Service u
serDetails
Service;
private final BCrypt
PasswordEncoder passwordEncoder;
@Autowired
public
SecurityConfig(U
serDetails
Service u
serDetails
Service,
PasswordEncoder passwordEncoder) {
this
.u
serDetails
Service = u
serDetails
Service;
this
.passwordEncoder =
passwordEncoder;
}
@Bean
public JwtTokenProvider jwtTokenProvider() {
return new JwtTokenProvider();
}
@Override
protected void configure(Http
Security http) throws Exception {
http
.csrf()
.disable() // 必须禁用CSRF，因为JWT不包含 CSRF令牌
.authorizeRequests()
// 其他授权规则
.and()
.addFilterBefore(new JwtAuthenticationFilter(authenticationManager()), U
sername
PasswordAuthenticationFilter
.class);
}
@Bean
public AuthenticationManager authenticationManagerBean() throws Exception {
return new DaoAuthenticationProvider(u
serDetails
Service)
.setEncoder(
passwordEncoder);
}
}
```
这里的`JwtAuthenticationFilter`需要自定义，可以从网上找到示例或者第三方库如`sms4j-spring-boot-starter-jwt`。
3
. 创建JWT处理器：你需要处理生成、验证和刷新JWT。这通常涉及创建一个`Jwt
Service`类，用于生成JWT和处理请求头
中的JWT。例如：
```
java
import io
.jsonwebtoken
.Claims;
import io
.jsonwebtoken
.Jwts;
import io
.jsonwebtoken
.SignatureAlgorithm;
public class Jwt
Service {
private static final String
SECRET_KEY = "your-
secret-key"; // 替换为实际的密钥
public String generateToken(String u
sername, boolean isU
ser) {
//
...
}
public boolean validateToken(String token) {
//
...
}
}
```
4
. 安全扫描器：在`@EnableGlobalMethod
Security`上添加`
securedEnabled = true`，启用全局安全检查：
```
java
import
org.springframework.context
.annotation
.Configuration;
import
org.springframework.security.config
.annotation
.method
.configuration
.EnableGlobalMethod
Security;
@Configuration
@EnableGlobalMethod
Security(
securedEnabled = true)
public class Global
SecurityConfiguration {
//
...
}
```
5
. 使用JWT：现在可以在API调用中使用JWT进行身份验证。在HTTP响应中设置`Authorization` header，格式为`Bearer your-token`。客户端在请求时必须提供此header。
完成以上步骤后，你应该就可以在Spring
Security中使用JWT了。记得替换相关的密钥和配置以满足你的需求。
扫一扫
1575
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
