教你 Shiro + SpringBoot 整合 JWT

最新推荐文章于 2025-07-08 00:02:37 发布

Howie_Y

最新推荐文章于 2025-07-08 00:02:37 发布

阅读量8.2k

点赞数 2

CC 4.0 BY-SA版权

分类专栏： Java 文章标签： Java 后端 Shiro 框架 SpringBoot

本文链接：https://blog.youkuaiyun.com/weixin_38132621/article/details/80216075

本文详细介绍了如何在 Shiro 和 SpringBoot 框架中集成 JWT，用于权限管理和认证。通过JWTUtil工具类生成和校验token，实现用户登录、权限控制和异常处理。文章提供源码链接，包括用户角色分类、权限注解使用，以及不同角色可访问的接口示例。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

本篇文章将教大家在 shiro + springBoot 的基础上整合 JWT （JSON Web Token）
如果对 shiro 如何整合 springBoot 还不了解的可以先去看我的上一篇文章《教你 Shiro 整合 SpringBoot，避开各种坑》

附上源码：https://github.com/HowieYuan/shiro

JWT

JSON Web Token（JWT）是一个非常轻巧的规范。这个规范允许我们使用 JWT 在用户和服务器之间传递安全可靠的信息。

我们利用一定的编码生成 Token，并在 Token 中加入一些非敏感信息，将其传递。

一个完整的 Token : eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJmcm9tX3VzZXIiOiJCIiwidGFyZ2V0X3VzZXIiOiJBIn0.rSWamyAYwuHCo7IFAgd1oRpSP7nzL7BF5t7ItqpKViM

在本项目中，我们规定每次请求时，需要在请求头中带上 token ，通过 token 检验权限，如没有，则说明当前为游客状态（或者是登陆 login 接口等）

JWTUtil

我们利用 JWT 的工具类来生成我们的 token，这个工具类主要有生成 token 和校验 token 两个方法

生成 token 时，指定 token 过期时间 EXPIRE_TIME 和签名密钥 SECRET，然后将 date 和 username 写入 token 中，并使用带有密钥的 HS256 签名算法进行签名
“`
Date date = new Date(System.currentTimeMillis() + EXPIRE_TIME);
Algorithm algorithm = Algorithm.HMAC256(SECRET);
JWT.create()
.withClaim(“username”, username)
//到期时间
.withExpiresAt(date)
//创建一个新的JWT，并使用给定的算法进行标记
.sign(algorithm);



# 数据库表
![user](https://user-gold-cdn.xitu.io/2018/4/30/163170f3cfc4ead0?w=399&h=91&f=png&s=6512)
role: 角色；permission: 权限；ban: 封号状态
![role](https://user-gold-cdn.xitu.io/2018/4/30/163170f3cfb5efbc?w=199&h=67&f=png&s=1138)

每个用户有对应的角色（user，admin），权限（normal，vip），而 user 角色默认权限为 normal， admin 角色默认权限为 vip（当然，user 也可以是 vip）

# 过滤器
在上一篇文章中，我们使用的是 shiro 默认的权限拦截 Filter，而因为 JWT 的整合，我们需要自定义自己的过滤器 JWTFilter，JWTFilter 继承了 BasicHttpAuthenticationFilter，并部分原方法进行了重写

该过滤器主要有三步：
1. 检验请求头是否带有 token ```((HttpServletRequest) request).getHeader("Token") != null```
2. 如果带有 token，执行 shiro 的 login() 方法，将 token 提交到 Realm 中进行检验；如果没有 token，说明当前状态为游客状态（或者其他一些不需要进行认证的接口）

@Override
protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) throws UnauthorizedException {
    //判断请求的请求头是否带上 "Token"
    if (((HttpServletRequest) request).getHeader("Token") != null) {
        //如果存在，则进入 execute