使用Spring Boot和Spring Security构建安全的RESTful API

原创于 2025-06-19 19:00:42 发布 · 267 阅读

10 ·

CC 4.0 BY-SA版权

文章标签：

#Spring Boot #Spring Security #JWT #RESTful API #Java

Java 专栏收录该内容

873 篇文章

订阅专栏

使用Spring Boot和Spring Security构建安全的RESTful API

引言

在现代Web应用中，安全性是至关重要的。Spring Boot和Spring Security是Java生态系统中广泛使用的框架，它们提供了强大的工具来保护应用程序免受各种安全威胁。本文将介绍如何使用Spring Boot和Spring Security构建一个安全的RESTful API，并结合JWT（JSON Web Token）实现身份验证与授权。

技术栈

核心框架: Spring Boot, Spring Security
身份验证: JWT
数据库: H2（用于演示）
构建工具: Maven

项目初始化

首先，我们需要创建一个Spring Boot项目。可以使用Spring Initializr（https://start.spring.io/）快速生成项目骨架。确保选择以下依赖：

Spring Web
Spring Security
H2 Database
Lombok（可选，用于简化代码）

配置Spring Security

Spring Security提供了默认的安全配置，但我们需要自定义以满足我们的需求。以下是一个简单的配置类：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
            .authorizeRequests()
            .antMatchers("/api/auth/**").permitAll()
            .anyRequest().authenticated()
            .and()
            .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

实现JWT

JWT是一种轻量级的身份验证和授权机制。我们需要实现以下功能：

生成JWT: 用户登录成功后生成JWT。
验证JWT: 在每个请求中验证JWT的有效性。

以下是一个简单的JWT工具类：

@Component
public class JwtTokenProvider {

    @Value("${app.jwt.secret}")
    private String jwtSecret;

    @Value("${app.jwt.expiration}")
    private int jwtExpirationInMs;

    public String generateToken(Authentication authentication) {
        UserPrincipal userPrincipal = (UserPrincipal) authentication.getPrincipal();
        Date now = new Date();
        Date expiryDate = new Date(now.getTime() + jwtExpirationInMs);

        return Jwts.builder()
                .setSubject(Long.toString(userPrincipal.getId()))
                .setIssuedAt(new Date())
                .setExpiration(expiryDate)
                .signWith(SignatureAlgorithm.HS512, jwtSecret)
                .compact();
    }

    // 其他方法省略...
}

实现RESTful API

接下来，我们需要实现用户注册和登录的API。以下是一个简单的控制器：

@RestController
@RequestMapping("/api/auth")
public class AuthController {

    @Autowired
    private AuthenticationManager authenticationManager;

    @Autowired
    private JwtTokenProvider tokenProvider;

    @PostMapping("/login")
    public ResponseEntity<?> authenticateUser(@RequestBody LoginRequest loginRequest) {
        Authentication authentication = authenticationManager.authenticate(
            new UsernamePasswordAuthenticationToken(
                loginRequest.getUsername(),
                loginRequest.getPassword()
            )
        );

        SecurityContextHolder.getContext().setAuthentication(authentication);
        String jwt = tokenProvider.generateToken(authentication);
        return ResponseEntity.ok(new JwtAuthenticationResponse(jwt));
    }
}