深入解析Spring Boot与Spring Security整合实现JWT认证

最新推荐文章于 2025-09-12 11:13:48 发布

原创最新推荐文章于 2025-09-12 11:13:48 发布 · 318 阅读

4 ·

CC 4.0 BY-SA版权

文章标签：

#Spring Boot #Spring Security #JWT #认证 #Java

Java 专栏收录该内容

873 篇文章

订阅专栏

深入解析Spring Boot与Spring Security整合实现JWT认证

引言

在现代Web应用中，身份认证和授权是保障系统安全的重要组成部分。JWT（JSON Web Token）作为一种轻量级的认证机制，因其无状态、跨语言支持等优势，被广泛应用于分布式系统中。本文将结合Spring Boot和Spring Security，详细介绍如何实现基于JWT的身份认证。

JWT简介

JWT是一种开放标准（RFC 7519），用于在各方之间安全地传输信息。它由三部分组成：Header、Payload和Signature。JWT的主要特点包括：

无状态：服务端无需存储会话信息，减轻了服务器压力。
跨语言支持：JWT可以轻松在不同语言和平台之间传递。
自包含：JWT包含了所有必要的信息，减少了数据库查询。

环境准备

在开始之前，确保你的开发环境满足以下条件：

JDK 8或更高版本
Maven或Gradle构建工具
Spring Boot 2.5.x或更高版本
Spring Security 5.5.x或更高版本

项目搭建

创建Spring Boot项目

使用Spring Initializr创建一个新的Spring Boot项目，添加以下依赖：
- Spring Web
- Spring Security
- JJWT（用于生成和解析JWT）
配置Spring Security

在application.properties中配置JWT的密钥和过期时间：
```
jwt.secret=your-secret-key
jwt.expiration=86400000
```

实现JWT认证

1. 生成JWT

创建一个工具类JwtTokenUtil，用于生成和解析JWT：

public class JwtTokenUtil {
    private static final String SECRET_KEY = "your-secret-key";
    private static final long EXPIRATION_TIME = 86400000; // 24小时

    public static String generateToken(UserDetails userDetails) {
        Map<String, Object> claims = new HashMap<>();
        return Jwts.builder()
                .setClaims(claims)
                .setSubject(userDetails.getUsername())
                .setIssuedAt(new Date())
                .setExpiration(new Date(System.currentTimeMillis() + EXPIRATION_TIME))
                .signWith(SignatureAlgorithm.HS512, SECRET_KEY)
                .compact();
    }

    public static String getUsernameFromToken(String token) {
        return Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token).getBody().getSubject();
    }
}

2. 配置Spring Security

创建一个配置类SecurityConfig，继承WebSecurityConfigurerAdapter，并重写相关方法：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
                .authorizeRequests()
                .antMatchers("/api/auth/**").permitAll()
                .anyRequest().authenticated()
                .and()
                .addFilter(new JwtAuthenticationFilter(authenticationManager()))
                .addFilter(new JwtAuthorizationFilter(authenticationManager()));
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

3. 实现JWT过滤器

创建两个过滤器JwtAuthenticationFilter和JwtAuthorizationFilter，分别用于处理登录请求和验证JWT：

public class JwtAuthenticationFilter extends UsernamePasswordAuthenticationFilter {
    @Override
    public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {
        // 实现登录逻辑
    }

    @Override
    protected void successfulAuthentication(HttpServletRequest request, HttpServletResponse response, FilterChain chain, Authentication authResult) throws IOException, ServletException {
        // 生成JWT并返回
    }
}

public class JwtAuthorizationFilter extends BasicAuthenticationFilter {
    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) throws IOException, ServletException {
        // 验证JWT并设置认证信息
    }
}