Spring Security + JWT的权限认证框架

原创 于 2025-10-05 19:48:04 发布 · 662 阅读 · 15 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#spring #java #后端 #中间件

最近需要使用Security认证框架，网上也有挺多相关文章，结合大家的分享加上一些我自己的见解，搭建了一个比较完整的dome，有需要的可以到git上拷贝。

git地址：https://gitee.com/wnmemory/security_demo.git

RBAC 模型

RBAC（Role-Based Access Control，基于角色的访问控制）是当前最流行的权限管理模型之一。它通过“用户 → 角色 → 权限”的映射关系，简化权限分配、降低管理成本，并支持灵活扩展。

组成说明举例
用户（User）系统中的主体，通常是登录账户张三、李四
角色（Role）一组权限的集合，代表某种身份或职责管理员、普通用户、财务
权限（Permission）对资源的操作许可删除订单、查看报表、添加用户
资源（Resource）被访问的对象订单、报表、用户菜单
RBAC 关键设计表结构
CREATE TABLE `user` (
  `id` varchar(64) CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci NOT NULL COMMENT '用户ID，主键',
  `username` varchar(64) CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci NOT NULL COMMENT '用户名，唯一',
  `password` varchar(128) CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci NOT NULL COMMENT '密码',
  `phone` varchar(32) CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci DEFAULT NULL COMMENT '手机号，唯一',
  `nickname` varchar(64) CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci DEFAULT NULL COMMENT '昵称',
  `avatar` varchar(255) CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci DEFAULT NULL COMMENT '头像URL',
  `gender` tinyint DEFAULT NULL COMMENT '性别：0-未知，1-男，2-女',
  `status` tinyint DEFAULT '1' COMMENT '状态：0-禁用，1-正常',
  `is_deleted` tinyint(1) DEFAULT '0' COMMENT '逻辑删除标志：0-未删除，1-已删除',
  `created_at` datetime DEFAULT CURRENT_TIMESTAMP COMMENT '创建时间',
  `updated_at` datetime DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP COMMENT '更新时间',
  PRIMARY KEY (`id`),
  UNIQUE KEY `username` (`username`),
  UNIQUE KEY `phone` (`phone`),
  KEY `idx_username` (`username`),
  KEY `idx_phone` (`phone`),
  KEY `idx_is_deleted` (`is_deleted`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci COMMENT='用户表';

CREATE TABLE `role` (
  `id` varchar(64) COLLATE utf8mb4_unicode_ci NOT NULL COMMENT '角色ID，主键，使用字符串形式',
  `role` varchar(32) COLLATE utf8mb4_unicode_ci NOT NULL COMMENT '角色名称',
  `role_code` varchar(32) COLLATE utf8mb4_unicode_ci NOT NULL COMMENT '角色编码，唯一',
  `status` tinyint DEFAULT '1' COMMENT '状态：0-禁用，1-启用',
  `created_by` varchar(64) COLLATE utf8mb4_unicode_ci DEFAULT NULL COMMENT '创建人账号',
  `updated_by` varchar(64) COLLATE utf8mb4_unicode_ci DEFAULT NULL COMMENT '修改人账号',
  `is_deleted` tinyint(1) DEFAULT '0' COMMENT '逻辑删除标志：0-未删除，1-已删除',
  `created_at` datetime DEFAULT CURRENT_TIMESTAMP COMMENT '创建时间',
  `updated_at` datetime DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP COMMENT '更新时间',
  PRIMARY KEY (`id`),
  UNIQUE KEY `uk_role_code` (`role_code`),
  KEY `idx_role` (`role`),
  KEY `idx_status` (`status`),
  KEY `idx_created_by` (`created_by`),
  KEY `idx_updated_by` (`updated_by`),
  KEY `idx_is_deleted` (`is_deleted`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci COMMENT='角色表';

CREATE TABLE `user_role` (
  `id` varchar(64) COLLATE utf8mb4_unicode_ci NOT NULL COMMENT '映射ID，主键，使用字符串形式',
  `user_id` varchar(64) COLLATE utf8mb4_unicode_ci NOT NULL COMMENT '用户ID，外键关联user表',
  `role_id` varchar(64) COLLATE utf8mb4_unicode_ci NOT NULL COMMENT '角色ID，外键关联role表',
  `status` tinyint DEFAULT '1' COMMENT '状态：0-禁用，1-启用',
  `is_deleted` tinyint(1) DEFAULT '0' COMMENT '逻辑删除标志：0-未删除，1-已删除',
  `created_at` datetime DEFAULT CURRENT_TIMESTAMP COMMENT '创建时间',
  `updated_at` datetime DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP COMMENT '更新时间',
  PRIMARY KEY (`id`),
  UNIQUE KEY `uk_user_role` (`user_id`,`role_id`),
  KEY `idx_user_id` (`user_id`),
  KEY `idx_role_id` (`role_id`),
  KEY `idx_status` (`status`),
  KEY `idx_is_deleted` (`is_deleted`),
  CONSTRAINT `fk_user_role_role` FOREIGN KEY (`role_id`) REFERENCES `role` (`id`),
  CONSTRAINT `fk_user_role_user` FOREIGN KEY (`user_id`) REFERENCES `user` (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci COMMENT='用户-角色映射表';

CREATE TABLE `permission` (
  `id` varchar(64) COLLATE utf8mb4_unicode_ci NOT NULL COMMENT '权限ID，主键，使用字符串形式',
  `code` varchar(64) COLLATE utf8mb4_unicode_ci NOT NULL COMMENT '权限代码，唯一',
  `name` varchar(64) COLLATE utf8mb4_unicode_ci NOT NULL COMMENT '权限名称',
  `description` varchar(255) COLLATE utf8mb4_unicode_ci DEFAULT NULL COMMENT '权限描述',
  `is_deleted` tinyint(1) DEFAULT '0' COMMENT '逻辑删除标志：0-未删除，1-已删除',
  `created_at` datetime DEFAULT CURRENT_TIMESTAMP COMMENT '创建时间',
  `updated_at` datetime DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP COMMENT '更新时间',
  `status` tinyint(1) DEFAULT '1' COMMENT '状态：0-禁用，1-启用',
  PRIMARY KEY (`id`),
  UNIQUE KEY `code` (`code`),
  KEY `idx_code` (`code`),
  KEY `idx_is_deleted` (`is_deleted`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci COMMENT='权限表';

CREATE TABLE `role_permission` (
  `id` varchar(64) COLLATE utf8mb4_unicode_ci NOT NULL COMMENT '映射ID，主键，使用字符串形式',
  `role_id` varchar(64) COLLATE utf8mb4_unicode_ci NOT NULL COMMENT '角色ID，外键关联role表',
  `permission_id` varchar(64) COLLATE utf8mb4_unicode_ci NOT NULL COMMENT '权限ID，外键关联permission表',
  `status` tinyint DEFAULT '1' COMMENT '状态：0-禁用，1-启用',
  `is_deleted` tinyint(1) DEFAULT '0' COMMENT '逻辑删除标志：0-未删除，1-已删除',
  `created_at` datetime DEFAULT CURRENT_TIMESTAMP COMMENT '创建时间',
  `updated_at` datetime DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP COMMENT '更新时间',
  PRIMARY KEY (`id`),
  UNIQUE KEY `uk_role_permission` (`role_id`,`permission_id`),
  KEY `idx_role_id` (`role_id`),
  KEY `idx_permission_id` (`permission_id`),
  KEY `idx_status` (`status`),
  KEY `idx_is_deleted` (`is_deleted`),
  CONSTRAINT `fk_role_permission_permission` FOREIGN KEY (`permission_id`) REFERENCES `permission` (`id`),
  CONSTRAINT `fk_role_permission_role` FOREIGN KEY (`role_id`) REFERENCES `role` (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci COMMENT='角色-权限映射表';
用户认证与权限控制整体流程概览
登录认证
  1. 用户提交用户名密码 → 后端验证 → 生成 JWT → 返回给前端。
  2. 前端后续请求携带 JWT（放在 Authorization: Bearer <token> 头中）。
  3. 后端通过 JWT 验证用户身份与权限，决定是否允许访问资源。
权限控制
  1. 请求到达 → JwtTokenFilter 拦截 → 提取并验证 JWT。
  2. 若验证通过 → 构建 Authentication 对象 → 存入 SecurityContext。
  3. Spring Security 根据 Authentication 中的权限信息，判断是否有权访问资源。
框架主要类职责介绍
类名作用说明
JwtUtilJWT 工具类负责生成、解析、验证 JWT，提取用户名和权限等信息。
CustomUserDetails用户详情封装实现 UserDetails 接口，封装用户实体、角色、权限，供 Spring Security 使用。
CustomUserDetailsService用户详情服务实现 UserDetailsService 接口，根据用户名加载用户信息（包括角色和权限）。
JwtTokenFilterJWT 过滤器拦截请求，提取 JWT，验证并设置认证信息到 SecurityContext。
JwtAuthenticationEntryPoint认证失败处理器当未认证用户访问受保护资源时，返回 401 Unauthorized。
SecurityConfig安全配置中心配置认证管理器、密码加密、过滤器链、放行规则等。
关键代码介绍
SecurityConfig类
protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()//关闭 CSRF 防护（跨站请求伪造）
                .exceptionHandling().authenticationEntryPoint(entryPoint).and()//当用户访问受保护资源但未认证或 token 无效时，由 entryPoint（即 JwtAuthenticationEntryPoint）处理，返回 401 Unauthorized
        .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS).and()//设置会话策略为无状态,完全依赖 JWT 进行身份识别
                .authorizeRequests()
                .antMatchers("/auth/**").permitAll()
                .anyRequest().authenticated();// /auth/** 路径下的所有请求（如登录、注册）直接放行，不需要认证;其他所有路径必须认证（即必须携带有效 JWT）

        http.addFilterBefore(jwtFilter, UsernamePasswordAuthenticationFilter.class);//将自定义的 JwtTokenFilter 添加到过滤器链中
    }
UserDetailsService类

加载用户信息、角色、权限

public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
    User user = userMapper.findByUsername(username);
    if (user == null) {
        throw new UsernameNotFoundException("用户不存在: " + username);
    }
    if (user.getStatus() != 1) {
        throw new UsernameNotFoundException("用户已被禁用: " + username);
    }
    // 获取用户角色
    List<String> roleIds = userRoleMapper.findRoleIdsByUserId(user.getId());
    List<Role> roles = roleMapper.listByIds(roleIds);
    // 获取角色对应的权限
    List<String> permissionIds = rolePermissionMapper.findPermissionIdsByRoleIds(roleIds);
    List<Permission> permissions = permissionMapper.listByIds(permissionIds);
    return new CustomUserDetails(user, roles, permissions);
}
UserDetails类

把当前用户的“角色”和“权限”统一转换成 Spring Security 能识别的“授权对象”集合（GrantedAuthority），供后续权限控制使用

public Collection<? extends GrantedAuthority> getAuthorities() {
    Set<GrantedAuthority> set = new HashSet<>();
    roles.forEach(r -> set.add(new SimpleGrantedAuthority(r.getRoleCode())));
    permissions.forEach(p -> set.add(new SimpleGrantedAuthority(p.getCode())));
    return set;
}
JwtUtil类

生成、解析、验证 token

public String generateToken(String username, List<String> authorities) {
    Date expiry = new Date(System.currentTimeMillis() + expiration);//计算 token 的过期时间
    return Jwts.builder()
            .setSubject(username)//将用户名作为 token 的“主体”，后续可根据这个字段识别用户身份
            .claim("authorities", authorities)//将用户的权限列表作为自定义声明（claim）存入 token
            .setIssuedAt(new Date())//设置 token 的签发时间,用于判断 token 是否过期或是否有效
            .setExpiration(expiry)//设置 token 的过期时间
            .signWith(SignatureAlgorithm.HS512, secret)//使用 HS512 算法和配置的密钥（secret）对 token 进行签名，防止篡改
            .compact();
}
JwtTokenFilter类

在每次请求到达时，拦截并解析 JWT，若合法则自动完成用户认证，把用户信息放入 Spring Security 上下文，使后续业务层/控制器能够拿到当前登录用户

protected void doFilterInternal(HttpServletRequest request,
                                HttpServletResponse response,
                                FilterChain chain) throws ServletException, IOException {
    String header = request.getHeader("Authorization");
    if (header != null && header.startsWith("Bearer ")) { //只处理 Bearer <token> 格式的 JWT；否则直接放过，留给后面的过滤器或 Spring Security 处理
        String token = header.substring(7);//去掉 "Bearer " 前缀，拿到纯 token 字符串
        if (jwtUtil.validate(token)) { //用 JwtUtil 验证签名、过期时间等；不合法就什么都不做，请求继续（后面会因为 SecurityContext 里没认证信息而被拦截）
            String username = jwtUtil.getUsername(token);
            UserDetails details = userDetailsService.loadUserByUsername(username);//根据用户名加载完整的用户信息（包含角色、权限等）
            UsernamePasswordAuthenticationToken auth =
                    new UsernamePasswordAuthenticationToken(details, null, details.getAuthorities());//构造 已认证 的 Authentication 对象
            SecurityContextHolder.getContext().setAuthentication(auth);//把认证信息写入 Spring Security 上下文（SecurityContext）;当前线程的任何地方都可以通过 SecurityContextHolder.getContext().getAuthentication() 拿到用户信息
        }
    }
    chain.doFilter(request, response);//过滤器链继续向下执行，业务控制器最终拿到请求
}
权限控制方式
基于 URL 的权限控制（在 SecurityConfig 中配置）
.antMatchers("/user/**").hasAnyRole("USER", "ADMIN")
基于注解的权限控制（在controller方法接口上加）

需要在SecurityConfig开启注解支持：@EnableGlobalMethodSecurity(prePostEnabled = true)

@PreAuthorize("hasRole('ADMIN')")//角色层面
public void someAdminOnlyMethod() { ... }

@PreAuthorize("hasAuthority('user:list')")//权限层面
public Result<PageInfo<User>> list(@RequestBody UserDto dto){ ... }

上述主要介绍了框架的重点内容，然后按自己的需求进行功能接口的设计编写就可以。

这是一个我个人编写的觉得比较完整的demo：提供注册，账密登录，电话登录，接口token校验，权限认证采用了接口级别，还有用户，角色，权限的增删查改等功能。

wn_memory
关注
主流身份认证授权框架介绍
zenglichuan的博客
06-19 1213
CAS作为一个开放的、可扩展的、基于网络的身份认证系统，可以使用多种身份验证协议（如LDAP、Kerberos、OAuth等），支持多种身份验证方式（如用户名密码、智能卡、生物识别等），可以在不同的平台和应用之间实现单点登录、身份认证和授权管理。OpenID Connect基于OAuth 2.0，提供更安全的身份验证和授权的方式，可与SAML、JWT一起使用，用于实现跨企业的身份认证；SAML是基于XML的协议，可以与Shibboleth、LDAP一起使用，用于企业内部和跨企业之间的身份认证和断言交换；
Shiro权限管理框架
king220022的博客
04-11 1353
对于细颗粒度的权限管理不建议做成系统架构级别的功能，因为对数据级别的控制是系统的业务需求，随着业务需求的变更业务功能变化的可能性很大，建议对数据级别的权限控制在业务层个性化开发，比如：用户只允许修改自己创建的商品信息可以在service接口添加校验实现，service接口需要传入当前操作人的标识，与商品信息创建人标识对比，不一致则不允许修改商品信息。对资源类型的管理称为粗颗粒度权限管理，即只控制到菜单、按钮、方法，粗粒度的例子比如：用户具有用户管理的权限，具有导出订单明细的权限。
权限验证框架之Shiro
`or 1 or 不正经の泡泡
06-15 1343
交替换个脑子，一直搞考研的东西，实在是无聊。所以顺便把工程上的东西，拿来遛一遛。你问我，为啥不是机器学习，深度学习，那玩意搞起来头更大，累了。权当是打游戏放松了，那么废话不多说，这里要玩玩的是Shiro,其实一开始我还是喜欢玩这个Security，不过后来，经常用这个人人开源，也就接触这个玩意了，说实话，先前用那个玩意的时候，也是习惯性的把shiro改成security，但是实话实说，太麻烦了，懒得改，所以的话，干脆就是直接使用这个Shiro。
Spring Security学习笔记
Shawn的个人博客
05-09 3290
文章目录一、Security简介1、简介2、security框架快速搭建二、Spring Security认证1、登录校验流程2、SpringSecurity原理初探2.1 过滤器介绍2.2 认证流程详解3、SpringBoot整合前期准备3.1 思路分析3.2 数据库与框架搭建3.3 相应工具类创建4、自定义UserDetailsService5、自定义登录接口6、认证过滤器7、退出登录8、自定义认证(可选)三、Spring Security授权1、 权限系统初步介绍1.1 介绍1.2 授权基本流程1.3
再见Spring Security！推荐一款功能强大的权限认证框架，用起来够优雅！
HollisChuang's Blog
08-23 1936
‍‍在我们做SpringBoot项目的时候，认证授权是必不可少的功能！我们经常会选择Shiro、Spring Security这类权限认证框架来实现，但这些框架使用起来有点繁琐，而且功能也...
权限认证框架---Shiro
qq_60067835的博客
12-07 2300
带你从0到1开始学习安全认证框架，采用图文结合和案例分析的模式，实操体验认证全流程
通用权限管理系统+springboot+mybatis plus+spring security+jwt+redis+mysql
05-30
后端使用SpringBoot框架进行业务逻辑开发，利用Spring Security实现权限控制。数据库采用MySQL进行数据存储，使用MyBatis进行数据访问。 权限控制模块设计包括用户、角色和权限三个主要模块。用户模块用于管理用户...
Springboot整合Spring security+Oauth2+JWT搭建认证服务器，网关，微服务之间权限认证及授权
04-22
本教程将探讨如何使用Spring Boot结合Spring Security、OAuth2和JWT（JSON Web Token）来搭建一个认证服务器、API网关以及微服务之间的权限认证和授权机制。 首先，Spring Security是Spring框架的一个模块，专门...
SpringBoot2.7整合SpringSecurity+Jwt+Redis+MySQL+MyBatis完整项目代码
10-30
在本项目中，我们主要关注的是SpringBoot 2.7版本与多个技术的深度整合，包括Spring Security、JWT（JSON Web Token）、Redis缓存以及MySQL数据库，并利用MyBatis作为持久层框架。以下是对这些技术及其整合应用的...
Springboot+SpringSecurity+JWT实现用户登录和权限认证示例
08-19
总的来说，Spring Boot + Spring Security + JWT的组合提供了一个强大且可扩展的用户认证和权限管理系统，适用于各种现代Web应用。在实际开发中，根据项目需求，可能还需要考虑如密码加密、刷新令牌、多因素认证等...
springboot+springSecurity+jwt实现登录认证后令牌授权
09-12
在这个项目中，我们将探讨如何利用Spring Boot、Spring Security和JWT来实现登录认证后的令牌授权。 首先，让我们从Spring Boot开始。Spring Boot简化了Spring应用的初始搭建以及开发过程。通过提供默认配置，它极...
SpringBoot---Spring security权限认证框架
最新发布
m0_71117042的博客
01-22 608
最核心的就是 Basic Authentication Filter 用来认证用户的身份，一个在 Spring Security 中一种过滤器处理一种认证方式。这些信息可以用于验证、授权、信息交换，前端使用JWT来实现用户认证，后端可以通过解析JWT来获取用户信息；为了满足企业项目的不同需求，它提供了很多定制化开发的解决方案，通过简单的调整配置，就能为我们的应用提供一套可靠的安全保障。会捕获抛出的错误，然后根据不同的认证方式进行信息的返回提示。--security 依赖-->--JWT 依赖-->
SpringSecurity的权限认证框架（二）
qq_54421200的博客
01-14 926
深入SpringSecurity源码，探讨其登入认证的主要流程，了解SpringSecurity安全框架的神秘之处，同时让自己能更多的了解SpringSecurity的使用
Java认证鉴权框架：Sa-Token
love_eat_peach的博客
06-06 2985
（调用角色校验和权限校验方法的时候，satoken会调用上面我们实现的StpInterface接口类的对应方法，拿到此用户的权限码集合后，再将权限码和待校验的字符串进行判断是否有权限）（调用角色校验和权限校验方法的时候，satoken会调用上面我们实现的StpInterface接口类的对应方法，拿到此用户的权限码集合后，再将权限码和待校验的字符串进行判断是否有权限）?SaRouter.match("/**").check(r -> System.out.println("----啦啦啦----"))
基于Springboot搭建java项目（二十五）——权限认证框架Sa-token
m0_46616045的博客
02-01 2381
以上是对Sa-token的主要功能模块的简介，具体的使用详情可参考官方文档https://sa-token.cc/doc.html#/这个框架我自己使用了三个月了，对于一个轻量级的项目来说还是非常友好的，集成和使用都非常便捷，后续我也会写一篇文章来总结一下在使用这个框架过程当中遇到的坑。有问题可以评论或者私信联系我哦。
Shiro权限框架认证和授权原理介绍
热门推荐
IT飞岳的博客
06-12 1万+
1、简介shiro是一个安全框架，是Apache的一个子项目。shiro提供了：认证、授权、加密、会话管理、与web集成、缓存等模块。   1.1、模块介绍Authentication:用户身份识别，可以认为是登录；Authorization:授权，即权限验证，验证某个已认证的用户是否拥有某个权限；即判断用户是否能做事情，常见的如：验证某个用户是否拥有某个角色。或者细粒度的验证某个用户对某个资源是...
SpringSecurity的权限认证框架（一）
qq_54421200的博客
01-12 1604
SpringSecurity的使用，自定义校验成功和失败类，通过自定义校验规则，让SpringSecurity变得更加灵活
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值