深入解析Spring Boot与Spring Security集成JWT实现认证与授权

原创于 2025-07-11 21:00:54 发布 · 429 阅读

3 ·

CC 4.0 BY-SA版权

文章标签：

#Spring Boot #Spring Security #JWT #认证与授权 #Java

Java 专栏收录该内容

873 篇文章

订阅专栏

深入解析Spring Boot与Spring Security集成JWT实现认证与授权

引言

在现代Web应用中，用户认证与授权是必不可少的功能。Spring Security作为Spring生态中的安全框架，提供了强大的安全支持。而JWT（JSON Web Token）作为一种轻量级的认证机制，因其无状态、跨域支持等特性，被广泛应用于分布式系统中。本文将详细介绍如何在Spring Boot项目中集成Spring Security，并结合JWT实现用户认证与授权。

技术栈

核心框架: Spring Boot, Spring Security
认证机制: JWT (JSON Web Token)
数据库: 可选（本文以内存数据库为例）
工具库: JJWT (Java JWT)

实现步骤

1. 创建Spring Boot项目

首先，使用Spring Initializr创建一个新的Spring Boot项目，添加以下依赖：

Spring Web
Spring Security
Spring Data JPA (可选)
JJWT

2. 配置Spring Security

在Spring Security的配置类中，我们需要自定义用户认证逻辑和权限控制。以下是一个简单的配置示例：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
            .authorizeRequests()
            .antMatchers("/api/public/**").permitAll()
            .anyRequest().authenticated()
            .and()
            .addFilter(new JwtAuthenticationFilter(authenticationManager()))
            .addFilter(new JwtAuthorizationFilter(authenticationManager()));
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

3. 实现JWT生成与验证

使用JJWT库生成和验证JWT。以下是一个简单的工具类示例：

public class JwtUtil {
    private static final String SECRET_KEY = "your-secret-key";
    private static final long EXPIRATION_TIME = 86400000; // 24小时

    public static String generateToken(String username) {
        return Jwts.builder()
                .setSubject(username)
                .setExpiration(new Date(System.currentTimeMillis() + EXPIRATION_TIME))
                .signWith(SignatureAlgorithm.HS512, SECRET_KEY)
                .compact();
    }

    public static String validateToken(String token) {
        return Jwts.parser()
                .setSigningKey(SECRET_KEY)
                .parseClaimsJws(token)
                .getBody()
                .getSubject();
    }
}

4. 实现认证与授权过滤器

创建两个过滤器分别用于处理JWT的认证和授权逻辑。以下是示例代码：

public class JwtAuthenticationFilter extends UsernamePasswordAuthenticationFilter {
    @Override
    public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) {
        // 实现认证逻辑
    }
}

public class JwtAuthorizationFilter extends BasicAuthenticationFilter {
    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) {
        // 实现授权逻辑
    }
}