java - SpringBoot3.x接入Security6.x实现JWT认证

草青工作室

已于 2025-01-01 09:07:00 修改

阅读量1.7k

点赞数 26

CC 4.0 BY-SA版权

文章标签： java 开发语言

于 2024-12-31 21:45:00 首次发布

本文链接：https://blog.youkuaiyun.com/xxj_jing/article/details/144854423

java - SpringBoot3.x接入Security6.x实现JWT认证

一、引言

SpringBoot3.x的安全默认依赖Security6.x，Security6.x于Security5.7以前的配置有了很大区别。我们将深入探讨这两个版本之间的差异，以及它们如何影响现代Web应用的安全架构。特别是，我们将重点分析JWT（JSON Web Tokens）过滤器的工作原理，以及它是如何与匿名访问相结合，为应用提供更加灵活的安全控制。

二、环境

JDK 17
SpringBoot 3.2
Security 6.3

三、Maven依赖

<!-- Security安全 -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
    <version>3.2.2</version>
</dependency>
<!-- jwt接口认证 -->
<dependency>
    <groupId>com.auth0</groupId>
    <artifactId>java-jwt</artifactId>
    <version>4.4.0</version>
</dependency>

四、认识JWT

JSON Web Token (JWT)是一个开放标准(RFC 7519)，它定义了一种紧凑的、自包含的方式，用于作为JSON对象在各方之间安全地传输信息。该信息可以被验证和信任，因为它是数字签名的。

1. JWT组成

JSON Web Token由三部分组成，它们之间用圆点(.)连接，一个典型的JWT看起来是这个样子的：

第一部分：header典型的由两部分组成：token的类型（“JWT”）和算法名称（比如：HMAC SHA256或者RSA等等），然后，用Base64对这个JSON编码就得到JWT的第一部分。
第二部分：payload它包含声明（要求），声明是关于实体(通常是用户)和其他数据的声明。
第三部分：签名是用于验证消息在传递过程中有没有被更改，并且对于使用私钥签名的token，它还可以验证JWT的发送方是否为它所称的发送方。

注意：不要在JWT的payload或header中放置敏感信息，除非它们是加密的。

{
 alg: "RS256"
}.
{
//存储自定义的用户信息,属性可以自定扩充
 login_name: "admin",
 user_id: "xxxxx",
 ...
}.
[signature]

请求header应该是这样的：Authorization: Bearer

五、认识Security6.x

1. 和旧版本的区别（Security5.7以前的版本）

SpringBoot3中默认Security升级到了6.x写法上发生了很大的变化，最显著的变化之一就是对WebSecurityConfigurerAdapter类的使用方式的改变。这个类在 Spring Security 中被广泛用于自定义安全配置。以下是主要的差异和写法上的变化：

废弃WebSecurityConfigurerAdapter：

在Security5.x 版本中，WebSecurityConfigurerAdapter 是实现安全配置的常用方法。用户通过继承这个类，并覆盖其方法来自定义安全配置。到了 Spring Security 6.x，WebSecurityConfigurerAdapter 被标记为过时（deprecated），意味着它可能在未来的版本中被移除。这一变化是为了推动使用更现代的配置方法，即使用组件式配置。

新版本建议使用组件式配置：

在 Spring Security 6.x 中，推荐使用组件式配置。这意味着你可以创建一个配置类，该类不再需要继承 WebSecurityConfigurerAdapter。
你可以直接定义一个或多个 SecurityFilterChain Bean来配置安全规则。这种方式更加灵活，并且与 Spring Framework 的整体风格更加一致。

2. Security6.x的默认筛选器

支持的所有筛选器在spring-security-config-6.2.1.jar包的org.springframework.security.config.annotation.web.builders.FilterOrderRegistration类的构造函数中定义，并确定了执行顺序。

FilterOrderRegistration() {
    Step order = new Step(INITIAL_ORDER, ORDER_STEP);
    put(DisableEncodeUrlFilter.class, order.next());
    put(ForceEagerSessionCreationFilter.class, order.next());
    put(ChannelProcessingFilter.class, order.next());
    order.next(); // gh-8105
    put(WebAsyncManagerIntegrationFilter.class, order.next());
    put(SecurityContextHolderFilter.class, order.next());
    put(SecurityContextPersistenceFilter.class, order.next());
    put(HeaderWriterFilter.class, order.next());
    put(CorsFilter.class, order.next());
    put(CsrfFilter.class, order.next());
    put(LogoutFilter.class, order.next());
    this.filterToOrder.put(
            "org.springframework.security.oauth2.client.web.OAuth2AuthorizationRequestRedirectFilter",
            order.next());
    this.filterToOrder.put(
            "org.springframework.security.saml2.provider.service.web.Saml2WebSsoAuthenticationRequestFilter",
            order.next());
    put(X509AuthenticationFilter.class, order.next());
    put(AbstractPreAuthenticatedProcessingFilter.class, order.next());
    this.filterToOrder.put("org.springframework.security.cas.web.CasAuthenticationFilter", order.next());
    this.filterToOrder.put("org.springframework.security.oauth2.client.web.OAuth2LoginAuthenticationFilter",
            order.next());
    this.filterToOrder.put(
            "org.springframework.security.saml2.provider.service.web.authentication.Saml2WebSsoAuthenticationFilter",
            order.next());
    put(UsernamePasswordAuthenticationFilter.class, order.next());
    order.next(); // gh-8105
    put(DefaultLoginPageGeneratingFilter.class, order.next());
    put(DefaultLogoutPageGeneratingFilter.class, order.next());
    put(