token登陆验证

最新推荐文章于 2024-05-10 11:02:10 发布

原创最新推荐文章于 2024-05-10 11:02:10 发布 · 1.2w 阅读

81 ·

CC 4.0 BY-SA版权

具体的问题同时被 2 个专栏收录

16 篇文章

订阅专栏

springboot

8 篇文章

订阅专栏

在HTTP无状态特性下，分布式系统常采用Token验证登录状态。本文介绍了使用Redis存储Token，通过Vue.js前端路由守卫和拦截器，以及SpringBoot后端的AOP和拦截器实现登录验证的详细步骤。

登陆业务的实现
由于http是无状态的，那么应该如何记住登录状态呢？
单一应用的服务中常见做法是在客户端cookie中保存sessionId,服务器端的session中保存sessionid,每次客户端发送请求的时候都带上sessionid，在服务器端进行验证。

在分布式系统中，由于服务器之间不能共享内存，因此服务器之间session不能互通，因此不能使用session去存储用户的登录信息，一般使用token方式去记录登录状态。token方式其实也和前面的方式大同小异，区别就是使用Redis缓存去存储这个用户标识。
在这里插入图片描述
token进行登录验证的步骤如下
(1)客户端输入用户名和密码向服务器端发起验证
(2)服务器端验证通过之后根据某种规则生成用户的token并返回，这个token保存在redis中,以保证不同服务器间的共享
(3)客户端存储该token，可以存储在sessionStorage或者cookie中
(4)后续服务器的每次请求都在请求头携带token发送到服务端
(5)服务端在执行方法前先对请求进行验证,取出token查询redis中有没有对应的值。
在这里插入图片描述
前端使用的技术
前端框架使用vue.js，用到的关键技术有路由导航守卫和拦截器
路由导航守卫主要是保证没有获得token时不能访问除登录外的其他页面，这里不对token进行验证，只是判断token存不存在
拦截器主要目的是让请求头携带token
在这里插入图片描述

后端使用的技术
后端框架使用springboot
使用到的关键技术主要是Redis,AOP以及拦截器

以下的方法主要是生成token，并把token存在redis中

@RestController
@RequestMapping("/seller/user")
@CrossOrigin
public class SellerUserController {
    @Autowired
    private LoginService loginService;
    @Autowired
    private StringRedisTemplate redisTemplate;

    @PostMapping("/login")
    public ResultVO login(@RequestBody LoginForm loginForm){
        SellerInfo sellerInfo=loginService.getSellerInfo(loginForm.getUsername(),loginForm.getPassword());
        UserVO userVo=new UserVO();
        //生成token
        if(sellerInfo!=null){
            String token = UUID.randomUUID().toString();
            userVo.setUsername(sellerInfo.getUsername());
            userVo.setToken(token);
            //设置token到redis
            Integer expire= RedisConstant.EXPIRE;
            redisTemplate.opsForValue().set(String.format(RedisConstant.TOKEN_PREFIX,token),sellerInfo.getUsername(),expire,TimeUnit.SECONDS);
            return ResultUtils.success(userVo);
        }
        return ResultUtils.fail(userVo);
    }

}

public interface RedisConstant {
    String TOKEN_PREFIX ="token_%s";
    Integer EXPIRE =1800;
}

接下来的问题是如何在每个请求过来的时候都验证token，不可能对每一个Controller都加入验证token的方法，比较容易想到的方式是使用AOP编程

切入点就是Controller中执行对应业务的方法
然后在执行方法之前，从请求头中拿到token，然后在redis中查询这个token是否有对应的值，如果有就验证通过，没有就验证失败，然后抛出异常。

@Aspect
@Component
public class SellerAuthorizeAspect {

    @Autowired
    private StringRedisTemplate redisTemplate;

    @Pointcut("execution(public * com.pers.food.controller.Seller*.*(..)) && !execution(public * com.pers.food.controller.SellerUserController.*(..))")
    public void verify(){}

    @Before("verify()")
    public void doverify(){
        ServletRequestAttributes attributes = (ServletRequestAttributes) RequestContextHolder.getRequestAttributes();
        HttpServletRequest request = attributes.getRequest();
        //从http请求头中拿到token
        String token=request.getHeader("Authorization");
        if(token==null)
        {
            throw new UserException(ResultEnum.LOGIN_STATE_ERROR);
        }
        String tokenValue= redisTemplate.opsForValue().get(String.format(RedisConstant.TOKEN_PREFIX,token));
        if(StringUtils.isEmpty(tokenValue)){
            throw new UserException(ResultEnum.TOKEN_NOT_FOUND);
        }
        redisTemplate.opsForValue().set(String.format(RedisConstant.TOKEN_PREFIX,token),tokenValue,RedisConstant.EXPIRE, TimeUnit.SECONDS);
    }
}

使用@ControllerAdvice处理异常，出现异常就给前端返回错误码，前端再用拦截器处理，如果收到错误码就跳转回登录页面。

@ControllerAdvice
public class SellExceptionHandler {

    //拦截登陆异常
    @ExceptionHandler(value=UserException.class)
    @ResponseBody
    public ResultVO handleLoginExcpetion()
    {
     return ResultUtils.authorizeFail();
    }
}