构建安全的RESTful API：Spring Boot与Spring Security整合JWT-优快云博客

本文链接：https://blog.youkuaiyun.com/intwei/article/details/148974956

构建安全的RESTful API：Spring Boot与Spring Security整合JWT

引言

在现代Web应用开发中，安全性是不可忽视的重要环节。本文将介绍如何利用Spring Boot和Spring Security构建安全的RESTful API，并通过JWT（JSON Web Token）实现身份验证与授权。我们将从基础概念讲起，逐步深入到实际代码实现，帮助开发者快速掌握相关技术。

技术栈

核心框架: Spring Boot, Spring Security
身份验证: JWT (JSON Web Token)
数据库: H2 (用于演示)
工具: Maven, Postman (用于测试)

1. JWT简介

JWT是一种开放标准（RFC 7519），用于在各方之间安全地传输信息。它由三部分组成：Header、Payload和Signature。JWT的主要优势在于其无状态性，适合分布式系统的身份验证。

2. 项目初始化

首先，我们通过Spring Initializr创建一个Spring Boot项目，添加以下依赖：

Spring Web
Spring Security
H2 Database (用于演示)
JWT库（如jjwt）

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-api</artifactId>
    <version>0.11.5</version>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-impl</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-jackson</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>

3. 配置Spring Security

在Spring Security中，我们需要自定义用户认证和授权逻辑。以下是一个简单的配置类：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .csrf().disable()
            .authorizeRequests(auth -> auth
                .antMatchers("/api/auth/**").permitAll()
                .anyRequest().authenticated()
            )
            .sessionManagement(session -> session
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            )
            .addFilterBefore(jwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }

    @Bean
    public JwtAuthenticationFilter jwtAuthenticationFilter() {
        return new JwtAuthenticationFilter();
    }
}

4. 实现JWT生成与验证

我们需要实现JWT的生成和验证逻辑。以下是一个简单的JWT工具类：

@Component
public class JwtTokenProvider {

    @Value("${jwt.secret}")
    private String jwtSecret;

    @Value("${jwt.expiration}")
    private long jwtExpiration;

    public String generateToken(UserDetails userDetails) {
        Map<String, Object> claims = new HashMap<>();
        return Jwts.builder()
                .setClaims(claims)
                .setSubject(userDetails.getUsername())
                .setIssuedAt(new Date())
                .setExpiration(new Date(System.currentTimeMillis() + jwtExpiration))
                .signWith(SignatureAlgorithm.HS512, jwtSecret)
                .compact();
    }

    public boolean validateToken(String token) {
        try {
            Jwts.parser().setSigningKey(jwtSecret).parseClaimsJws(token);
            return true;
        } catch (Exception e) {
            return false;
        }
    }

    public String getUsernameFromToken(String token) {
        return Jwts.parser().setSigningKey(jwtSecret).parseClaimsJws(token).getBody().getSubject();
    }
}

5. 实现用户认证

接下来，我们实现用户认证逻辑。以下是一个简单的认证服务：

@Service
public class AuthService {

    @Autowired
    private UserDetailsService userDetailsService;

    @Autowired
    private JwtTokenProvider jwtTokenProvider;

    @Autowired
    private PasswordEncoder passwordEncoder;

    public String authenticate(String username, String password) {
        UserDetails userDetails = userDetailsService.loadUserByUsername(username);
        if (passwordEncoder.matches(password, userDetails.getPassword())) {
            return jwtTokenProvider.generateToken(userDetails);
        }
        throw new RuntimeException("Invalid credentials");
    }
}