学习Spring Boot：（十六）使用Shiro与JWT 实现认证服务

最新推荐文章于 2025-06-21 14:09:05 发布

原创

最新推荐文章于 2025-06-21 14:09:05 发布 · 1.8w 阅读

22 ·

CC 4.0 BY-SA版权

文章标签：

#Spring Boot

本文介绍了如何在Spring Boot应用中利用Shiro和JWT进行无状态认证。详细步骤包括自定义JWT拦截器，登录过程，以及JWTUtils的使用。通过JWT，服务器端不再需要保存会话状态，简化了服务端负担，同时也便于单元测试。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

前言

代码可以参考
需要把Web应用做成无状态的，即服务器端无状态，就是说服务器端不会存储像会话这种东西，而是每次请求时access_token进行资源访问。这里我们将使用 JWT ¹，基于散列的消息认证码，使用一个密钥和一个消息作为输入，生成它们的消息摘要。该密钥只有服务端知道。访问时使用该消息摘要进行传播，服务端然后对该消息摘要进行验证。

认证步骤

客户端第一次使用用户名密码访问认证服务器，服务器验证用户名和密码，认证成功,使用用户密钥生成JWT并返回
之后每次请求客户端带上JWT
服务器对JWT进行验证

自定义 jwt 拦截器

/**
 * oauth2拦截器，现在改为 JWT 认证
 */
public class OAuth2Filter extends FormAuthenticationFilter {
   
   
    /**
     * 设置 request 的键，用来保存 认证的 userID,
     */
    private final static String USER_ID = "USER_ID";
    @Resource
    private JwtUtils jwtUtils;

    /**
     * logger
     */
    private static final Logger LOGGER = LoggerFactory.getLogger(OAuth2Filter.class);


    /**
     * shiro权限拦截核心方法 返回true允许访问resource，
     *
     * @param request
     * @param response
     * @param mappedValue
     * @return
     */
    @Override
    protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) {
   
   
        String token = getRequestToken((HttpServletRequest) request);
        try {
   
   
            // 检查 token 有效性
            //ExpiredJwtException JWT已过期
            //SignatureException JWT可能被篡改
            Jwts.parser().setSigningKey(jwtUtils.getSecret()).parseClaimsJws(token).getBody();
        } catch (Exception e) {
   
   
            // 身份验证失败，返回 false 将进入onAccessDenied 判断是否登陆。
            onLoginFail(response);
            return false;
        }
        Long userId = getUserIdFromToken(token);
        // 存入到 request 中，在后面的业务处理中可以使用
        request.setAttribute(USER_ID, userId);
        return true;
    }

    /**
     * 当访问拒绝时是否已经处理了；
     * 如果返回true表示需要继续处理；
     * 如果返回false表示该拦截器实例已经处理完成了，将直接返回即可。
     *
     * @param request
     * @param response
     * @return
     * @throws Exception
     */
    @Override
    protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {
   
   
        if (isLoginRequest(request, response)) {
   
   
            if (isLoginSubmission(request, response)) {
   
   
                return executeLogin(request, response);
            } else {
   
   
                return true