使用Spring Boot与Spring Security构建安全的RESTful API-优快云博客

本文链接：https://blog.youkuaiyun.com/intwei/article/details/148961470

使用Spring Boot与Spring Security构建安全的RESTful API

引言

在现代Web应用开发中，安全性是至关重要的。Spring Boot和Spring Security是Java生态中广泛使用的框架，它们提供了强大的工具来保护应用程序免受常见的安全威胁。本文将介绍如何结合Spring Boot和Spring Security构建一个安全的RESTful API，并使用JWT（JSON Web Token）实现身份验证与授权。

技术栈

核心框架: Spring Boot, Spring Security
身份验证与授权: JWT
数据库: H2（示例中使用内存数据库）
构建工具: Maven

项目初始化

首先，我们需要创建一个Spring Boot项目。可以通过Spring Initializr快速生成项目骨架。选择以下依赖：

Spring Web
Spring Security
H2 Database
Lombok（可选，简化代码）

配置Spring Security

Spring Security提供了默认的安全配置，但我们需要自定义以满足JWT的需求。以下是一个简单的配置类：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
            .authorizeRequests()
            .antMatchers("/api/auth/**").permitAll()
            .anyRequest().authenticated()
            .and()
            .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
    }
}

实现JWT

JWT是一种轻量级的身份验证机制，适用于分布式系统。我们需要实现以下功能：

生成Token: 用户登录成功后生成JWT。
验证Token: 每次请求时验证JWT的有效性。
解析Token: 从Token中提取用户信息。

以下是一个简单的JWT工具类：

@Component
public class JwtTokenProvider {

    @Value("${jwt.secret}")
    private String jwtSecret;

    @Value("${jwt.expiration}")
    private int jwtExpirationInMs;

    public String generateToken(Authentication authentication) {
        UserPrincipal userPrincipal = (UserPrincipal) authentication.getPrincipal();
        Date now = new Date();
        Date expiryDate = new Date(now.getTime() + jwtExpirationInMs);

        return Jwts.builder()
                .setSubject(Long.toString(userPrincipal.getId()))
                .setIssuedAt(new Date())
                .setExpiration(expiryDate)
                .signWith(SignatureAlgorithm.HS512, jwtSecret)
                .compact();
    }

    public Long getUserIdFromJWT(String token) {
        Claims claims = Jwts.parser()
                .setSigningKey(jwtSecret)
                .parseClaimsJws(token)
                .getBody();

        return Long.parseLong(claims.getSubject());
    }

    public boolean validateToken(String authToken) {
        try {
            Jwts.parser().setSigningKey(jwtSecret).parseClaimsJws(authToken);
            return true;
        } catch (Exception ex) {
            // Handle exception
        }
        return false;
    }
}

实现RESTful API

接下来，我们实现一个简单的用户管理API，包括注册和登录功能。以下是控制器代码：

@RestController
@RequestMapping("/api/auth")
public class AuthController {

    @Autowired
    private AuthenticationManager authenticationManager;

    @Autowired
    private JwtTokenProvider tokenProvider;

    @PostMapping("/login")
    public ResponseEntity<?> authenticateUser(@RequestBody LoginRequest loginRequest) {
        Authentication authentication = authenticationManager.authenticate(
            new UsernamePasswordAuthenticationToken(
                loginRequest.getUsername(),
                loginRequest.getPassword()
            )
        );

        SecurityContextHolder.getContext().setAuthentication(authentication);
        String jwt = tokenProvider.generateToken(authentication);
        return ResponseEntity.ok(new JwtAuthenticationResponse(jwt));
    }

    @PostMapping("/register")
    public ResponseEntity<?> registerUser(@RequestBody SignUpRequest signUpRequest) {
        // Implementation omitted for brevity
        return ResponseEntity.ok().build();
    }
}