使用Spring Boot和Spring Security构建安全的RESTful API-优快云博客

使用Spring Boot和Spring Security构建安全的RESTful API

引言

在现代Web开发中，安全性是构建应用程序时不可忽视的重要方面。Spring Boot和Spring Security为开发者提供了一套强大的工具，用于快速构建安全的RESTful API。本文将详细介绍如何结合Spring Boot和Spring Security，并使用JWT（JSON Web Token）实现身份验证与授权。

技术栈

核心框架: Spring Boot, Spring Security
身份验证: JWT
数据库: H2（示例中使用内存数据库）
构建工具: Maven

项目初始化

首先，我们需要创建一个Spring Boot项目。可以通过Spring Initializr（https://start.spring.io/）快速生成项目骨架。选择以下依赖：

Spring Web
Spring Security
H2 Database
Lombok（可选，用于简化代码）

配置Spring Security

Spring Security提供了强大的安全功能，但默认配置可能过于严格。我们需要自定义配置以满足需求。

1. 创建Security配置类

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
            .authorizeRequests()
            .antMatchers("/api/auth/**").permitAll()
            .anyRequest().authenticated()
            .and()
            .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
    }
}

2. 实现JWT Token生成与验证

我们需要创建一个工具类来生成和验证JWT Token。以下是一个简单的实现：

@Component
public class JwtTokenProvider {

    private String jwtSecret = "your-secret-key";
    private int jwtExpirationInMs = 3600000; // 1 hour

    public String generateToken(Authentication authentication) {
        UserPrincipal userPrincipal = (UserPrincipal) authentication.getPrincipal();
        Date now = new Date();
        Date expiryDate = new Date(now.getTime() + jwtExpirationInMs);

        return Jwts.builder()
                .setSubject(Long.toString(userPrincipal.getId()))
                .setIssuedAt(new Date())
                .setExpiration(expiryDate)
                .signWith(SignatureAlgorithm.HS512, jwtSecret)
                .compact();
    }

    public Long getUserIdFromJWT(String token) {
        Claims claims = Jwts.parser()
                .setSigningKey(jwtSecret)
                .parseClaimsJws(token)
                .getBody();

        return Long.parseLong(claims.getSubject());
    }

    public boolean validateToken(String authToken) {
        try {
            Jwts.parser().setSigningKey(jwtSecret).parseClaimsJws(authToken);
            return true;
        } catch (Exception ex) {
            // Handle exception
        }
        return false;
    }
}

实现用户认证

1. 创建用户模型与Repository

@Entity
@Data
public class User {
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;
    private String username;
    private String password;
}

@Repository
public interface UserRepository extends JpaRepository<User, Long> {
    Optional<User> findByUsername(String username);
}

2. 实现用户注册与登录

@Service
public class AuthService {

    @Autowired
    private UserRepository userRepository;

    @Autowired
    private PasswordEncoder passwordEncoder;

    @Autowired
    private JwtTokenProvider tokenProvider;

    public String registerUser(User user) {
        user.setPassword(passwordEncoder.encode(user.getPassword()));
        userRepository.save(user);
        return "User registered successfully";
    }

    public String authenticateUser(String username, String password) {
        Authentication authentication = authenticationManager.authenticate(
                new UsernamePasswordAuthenticationToken(username, password)
        );
        return tokenProvider.generateToken(authentication);
    }
}