Spring Boot использует JWT для аутентификации личности и разрешений.

Spring Boot

Написал один на прошлой неделеДемонстрация для начинающих, чтобы начать работу с Spring Security With JWT, эта статья в основном предназначена для объяснения наиболее важных моментов знания, связанных с кодом.

Демонстрация для начинающих, чтобы начать работу с Spring Security With JWTВ этой статье упоминается, что код должен объясняться во время 11-го праздника, но, знаете, когда дело доходит до 11-го, он будет откладываться снова и снова.Увидев, что сегодня конец 11-го, я взял второй половине дня, чтобы завершить эту часть содержания.

Мне завтра на работу, вытри слезы, молодец еще! Помогите мне подняться, я не могу учиться.

Если вы не знаете о JWT, вы можете прочитать эту оригинальную статью, опубликованную несколько дней назад:«Прошу различать Аутентификацию, Авторизацию и Куки, Сессию и Токен».

Демонстрационный адрес:https://github.com/Snailclimb/spring-security-jwt-guide.

Controller

этоUserControlerВ основном он используется для проверки того, действует ли конфигурация разрешений.

getAllUser（）метод аннотирован@PreAuthorize("hasAnyRole('ROLE_DEV','ROLE_PM')")Оформление означает, что к этому методу могут обращаться роли DEV и PM, иdeleteUserById()аннотированный@PreAuthorize("hasAnyRole('ROLE_ADMIN')")Доступ к декорированному делегату может получить только администратор.

/**
 * @author shuang.kou
 */
@RestController
@RequestMapping("/api")
public class UserController {

    private final UserService userService;

    private final CurrentUser currentUser;

    public UserController(UserService userService, CurrentUser currentUser) {
        this.userService = userService;
        this.currentUser = currentUser;
    }

    @GetMapping("/users")
    @PreAuthorize("hasAnyRole('ROLE_DEV','ROLE_PM')")
    public ResponseEntity<Page<User>> getAllUser(@RequestParam(value = "pageNum", defaultValue = "0") int pageNum, @RequestParam(value = "pageSize", defaultValue = "10") int pageSize) {
        System.out.println("当前访问该接口的用户为：" + currentUser.getCurrentUser().toString());
        Page<User> allUser = userService.getAllUser(pageNum, pageSize);
        return ResponseEntity.ok().body(allUser);
    }


    @DeleteMapping("/user")
    @PreAuthorize("hasAnyRole('ROLE_ADMIN')")
    public ResponseEntity<User> deleteUserById(@RequestParam("username") String username) {
        userService.deleteUserByUserName(username);
        return ResponseEntity.ok().build();
    }
}

Средства аутентификации безопасности

В нем есть несколько общих методов, таких как генерация токенов и анализ токенов для получения соответствующей информации.

/**
 * @author shuang.kou
 */
public class JwtTokenUtils {


    /**
     * 生成足够的安全随机密钥，以适合符合规范的签名
     */
    private static byte[] apiKeySecretBytes = DatatypeConverter.parseBase64Binary(SecurityConstants.JWT_SECRET_KEY);
    private static SecretKey secretKey = Keys.hmacShaKeyFor(apiKeySecretBytes);

    public static String createToken(String username, List<String> roles, boolean isRememberMe) {
        long expiration = isRememberMe ? SecurityConstants.EXPIRATION_REMEMBER : SecurityConstants.EXPIRATION;

        String tokenPrefix = Jwts.builder()
                .setHeaderParam("typ", SecurityConstants.TOKEN_TYPE)
                .signWith(secretKey, SignatureAlgorithm.HS256)
                .claim(SecurityConstants.ROLE_CLAIMS, String.join(",", roles))
                .setIssuer("SnailClimb")
                .setIssuedAt(new Date())
                .setSubject(username)
                .setExpiration(new Date(System.currentTimeMillis() + expiration * 1000))
                .compact();
        return SecurityConstants.TOKEN_PREFIX + tokenPrefix;
    }

    private boolean isTokenExpired(String token) {
        Date expiredDate = getTokenBody(token).getExpiration();
        return expiredDate.before(new Date());
    }

    public static String getUsernameByToken(String token) {
        return getTokenBody(token).getSubject();
    }

    /**
     * 获取用户所有角色
     */
    public static List<SimpleGrantedAuthority> getUserRolesByToken(String token) {
        String role = (String) getTokenBody(token)
                .get(SecurityConstants.ROLE_CLAIMS);
        return Arrays.stream(role.split(","))
                .map(SimpleGrantedAuthority::new)
                .collect(Collectors.toList());
    }

    private static Claims getTokenBody(String token) {
        return Jwts.parser()
                .setSigningKey(secretKey)
                .parseClaimsJws(token)
                .getBody();
    }
}

фильтр

Давайте сначала взглянем на два более важных фильтра.

Первый фильтр в основном используется для аутентификации входа на основе имени пользователя и пароля пользователя (запрос пользователя должен иметь два параметра: имя пользователя и пароль), он наследуетUsernamePasswordAuthenticationFilterИ переопределите следующие три метода:

  1. attemptAuthentication（）: аутентификация пользователя.
  2. successfulAuthentication(): Метод вызывается после успешной аутентификации пользователя.
  3. unsuccessfulAuthentication(): Метод вызывается после сбоя аутентификации пользователя.
/**
 * @author shuang.kou
 * 如果用户名和密码正确，那么过滤器将创建一个JWT Token 并在HTTP Response 的header中返回它，格式：token: "Bearer +具体token值"
 */
public class JWTAuthenticationFilter extends UsernamePasswordAuthenticationFilter {

    private ThreadLocal<Boolean> rememberMe = new ThreadLocal<>();
    private AuthenticationManager authenticationManager;

    public JWTAuthenticationFilter(AuthenticationManager authenticationManager) {
        this.authenticationManager = authenticationManager;
        // 设置登录请求的 URL
        super.setFilterProcessesUrl(SecurityConstants.AUTH_LOGIN_URL);
    }

    @Override
    public Authentication attemptAuthentication(HttpServletRequest request,
                                                HttpServletResponse response) throws AuthenticationException {

        ObjectMapper objectMapper = new ObjectMapper();
        try {
            // 从输入流中获取到登录的信息
            LoginUser loginUser = objectMapper.readValue(request.getInputStream(), LoginUser.class);
            rememberMe.set(loginUser.getRememberMe());
            // 这部分和attemptAuthentication方法中的源码是一样的，
            // 只不过由于这个方法源码的是把用户名和密码这些参数的名字是死的，所以我们重写了一下
            UsernamePasswordAuthenticationToken authRequest = new UsernamePasswordAuthenticationToken(
                    loginUser.getUsername(), loginUser.getPassword());
            return authenticationManager.authenticate(authRequest);
        } catch (IOException e) {
            e.printStackTrace();
            return null;
        }
    }

    /**
     * 如果验证成功，就生成token并返回
     */
    @Override
    protected void successfulAuthentication(HttpServletRequest request,
                                            HttpServletResponse response,
                                            FilterChain chain,
                                            Authentication authentication) {

        JwtUser jwtUser = (JwtUser) authentication.getPrincipal();
        List<String> roles = jwtUser.getAuthorities()
                .stream()
                .map(GrantedAuthority::getAuthority)
                .collect(Collectors.toList());
        // 创建 Token
        String token = JwtTokenUtils.createToken(jwtUser.getUsername(), roles, rememberMe.get());
        // Http Response Header 中返回 Token
        response.setHeader(SecurityConstants.TOKEN_HEADER, token);
    }


    @Override
    protected void unsuccessfulAuthentication(HttpServletRequest request, HttpServletResponse response, AuthenticationException authenticationException) throws IOException {
        response.sendError(HttpServletResponse.SC_UNAUTHORIZED, authenticationException.getMessage());
    }
}

Этот фильтр наследуетBasicAuthenticationFilter, в основном используемый для обработки ресурсов, к которым можно получить доступ только после аутентификации, он проверяет, имеет ли HTTP-запрос заголовок авторизации с правильным токеном, и проверяет действительность токена.

/**
 * 过滤器处理所有HTTP请求，并检查是否存在带有正确令牌的Authorization标头。例如，如果令牌未过期或签名密钥正确。
 *
 * @author shuang.kou
 */
public class JWTAuthorizationFilter extends BasicAuthenticationFilter {

    private static final Logger logger = Logger.getLogger(JWTAuthorizationFilter.class.getName());

    public JWTAuthorizationFilter(AuthenticationManager authenticationManager) {
        super(authenticationManager);
    }

    @Override
    protected void doFilterInternal(HttpServletRequest request,
                                    HttpServletResponse response,
                                    FilterChain chain) throws IOException, ServletException {

        String authorization = request.getHeader(SecurityConstants.TOKEN_HEADER);
        // 如果请求头中没有Authorization信息则直接放行了
        if (authorization == null || !authorization.startsWith(SecurityConstants.TOKEN_PREFIX)) {
            chain.doFilter(request, response);
            return;
        }
        // 如果请求头中有token，则进行解析，并且设置授权信息
        SecurityContextHolder.getContext().setAuthentication(getAuthentication(authorization));
        super.doFilterInternal(request, response, chain);
    }

    /**
     * 这里从token中获取用户信息并新建一个token
     */
    private UsernamePasswordAuthenticationToken getAuthentication(String authorization) {
        String token = authorization.replace(SecurityConstants.TOKEN_PREFIX, "");

        try {
            String username = JwtTokenUtils.getUsernameByToken(token);
            // 通过 token 获取用户具有的角色
            List<SimpleGrantedAuthority> userRolesByToken = JwtTokenUtils.getUserRolesByToken(token);
            if (!StringUtils.isEmpty(username)) {
                return new UsernamePasswordAuthenticationToken(username, null, userRolesByToken);
            }
        } catch (SignatureException | ExpiredJwtException exception) {
            logger.warning("Request to parse JWT with invalid signature . Detail : " + exception.getMessage());
        }
        return null;
    }
}

Этот класс в основном используется, когда пользователь использует токен для доступа к ресурсам, для доступа к которым требуется разрешение. Давайте выполним шаги, чтобы описать, что делает каждый шаг.

  1. Когда пользователь входит в систему, используя информацию о токене, возвращенную системой, он сначала проходит черезdoFilterInternal（）Этот метод извлечет информацию о токене из запрошенного заголовка, а затем определит, пуста ли информация о токене и верен ли формат информации о токене.
  2. Если в заголовке запроса есть токен и формат токена правильный, он будет проанализирован и будет оценена действительность токена, а затем информация об авторизации будет установлена ​​глобально в Spring Security.SecurityContextHolder.getContext().setAuthentication(getAuthentication(authorization));

CurrentUser

Когда мы говорили о фильтрах, мы сказали, что когда аутентифицированный пользователь получает доступ к системе, его информация для аутентификации будет установлена ​​в глобальном Spring Security. Затем, поскольку это так, нам очень просто получить информацию об авторизации текущего вошедшего в систему пользователя в другом месте.SecurityContextHolder.getContext().getAuthentication();метод. Для этого мы реализуем класс, предназначенный для получения текущего пользователя:

/**
 * @author shuang.kou
 * 获取当前请求的用户
 */
@Component
public class CurrentUser {

    private final UserDetailsServiceImpl userDetailsService;

    public CurrentUser(UserDetailsServiceImpl userDetailsService) {
        this.userDetailsService = userDetailsService;
    }

    public JwtUser getCurrentUser() {
        return (JwtUser) userDetailsService.loadUserByUsername(getCurrentUserName());
    }

    /**
     * TODO:由于在JWTAuthorizationFilter这个类注入UserDetailsServiceImpl一致失败，
     * 导致无法正确查找到用户，所以存入Authentication的Principal为从 token 中取出的当前用户的姓名
     */
    private static String getCurrentUserName() {
        Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
        if (authentication != null && authentication.getPrincipal() != null) {
            return (String) authentication.getPrincipal();
        }
        return null;
    }
}

корреляция исключений

JWTAccessDeniedHandlerДостигнутоAccessDeniedHandlerОн в основном используется для устранения аномалии, когда аутентифицированные пользователи получают доступ к ресурсам, для доступа к которым требуется разрешение.

/**
 * @author shuang.kou
 * AccessDeineHandler 用来解决认证过的用户访问需要权限才能访问的资源时的异常
 */
public class JWTAccessDeniedHandler implements AccessDeniedHandler {
    /**
     * 当用户尝试访问需要权限才能的REST资源而权限不足的时候，
     * 将调用此方法发送401响应以及错误信息
     */
    @Override
    public void handle(HttpServletRequest request, HttpServletResponse response, AccessDeniedException accessDeniedException) throws IOException {
        accessDeniedException = new AccessDeniedException("Sorry you don not enough permissions to access it!");
        response.sendError(HttpServletResponse.SC_FORBIDDEN, accessDeniedException.getMessage());
    }
}

JWTAuthenticationEntryPointДостигнутоAuthenticationEntryPointИспользуется для разрешения исключений, когда анонимные пользователи обращаются к ресурсам, для доступа к которым требуется разрешение.

/**
 * @author shuang.kou
 * AuthenticationEntryPoint 用来解决匿名用户访问需要权限才能访问的资源时的异常
 */
public class JWTAuthenticationEntryPoint implements AuthenticationEntryPoint {
    /**
     * 当用户尝试访问需要权限才能的REST资源而不提供Token或者Token过期时，
     * 将调用此方法发送401响应以及错误信息
     */
    @Override
    public void commence(HttpServletRequest request,
                         HttpServletResponse response,
                         AuthenticationException authException) throws IOException {
        response.sendError(HttpServletResponse.SC_UNAUTHORIZED, authException.getMessage());
    }
}

класс конфигурации

В классе конфигурации SecurityConfig мы в основном настраиваем:

  1. кодировщик паролейBCryptPasswordEncoder(Пароли, хранящиеся в базе данных, должны быть зашифрованы).
  2. заAuthenticationManagerустановить пользовательскийUserDetailsServiceкодировщик паролей;
  3. Конфигурация Spring Security указывает, какие ресурсы по пути должны быть доступны аутентифицированным пользователям, какие не требуются, и какие ресурсы могут быть доступны только определенным ролям;
  4. Добавьте два наших пользовательских фильтра в конфигурацию Spring Security;
  5. Добавьте два настраиваемых класса исключений, которые обрабатывают аутентификацию авторизации, в конфигурацию Spring Security;
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    UserDetailsServiceImpl userDetailsServiceImpl;

    /**
     * 密码编码器
     */
    @Bean
    public BCryptPasswordEncoder bCryptPasswordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Bean
    public UserDetailsService createUserDetailsService() {
        return userDetailsServiceImpl;
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        // 设置自定义的userDetailsService以及密码编码器
        auth.userDetailsService(userDetailsServiceImpl).passwordEncoder(bCryptPasswordEncoder());
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.cors().and()
                // 禁用 CSRF
                .csrf().disable()
                .authorizeRequests()
                .antMatchers(HttpMethod.POST, "/auth/login").permitAll()
                // 指定路径下的资源需要验证了的用户才能访问
                .antMatchers("/api/**").authenticated()
                .antMatchers(HttpMethod.DELETE, "/api/**").hasRole("ADMIN")
                // 其他都放行了
                .anyRequest().permitAll()
                .and()
                //添加自定义Filter
                .addFilter(new JWTAuthenticationFilter(authenticationManager()))
                .addFilter(new JWTAuthorizationFilter(authenticationManager()))
                // 不需要session（不创建会话）
                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS).and()
                // 授权异常处理
                .exceptionHandling().authenticationEntryPoint(new JWTAuthenticationEntryPoint())
                .accessDeniedHandler(new JWTAccessDeniedHandler());

    }

}

Перекрестный домен:

Яма, на которую здесь наступили, это: если не поставитьexposedHeaders("Authorization")Если атрибут «Авторизация» в заголовке открыт для клиентского приложения, внешний интерфейс не может получить информацию о маркере.

@Configuration
public class CorsConfiguration implements WebMvcConfigurer {

    @Override
    public void addCorsMappings(CorsRegistry registry) {
        registry.addMapping("/**")
                .allowedOrigins("*")
                //暴露header中的其他属性给客户端应用程序
                //如果不设置这个属性前端无法通过response header获取到Authorization也就是token
                .exposedHeaders("Authorization")
                .allowCredentials(true)
                .allowedMethods("GET", "POST", "DELETE", "PUT")
                .maxAge(3600);
    }
}

Анализ преимуществ и недостатков JWT

преимущество

  1. Без сохранения состояния серверу не нужно хранить информацию о сеансе.
  2. Эффективно избегайте атаки CSRF.
  3. Подходит для мобильных приложений.
  4. Удобный единый вход.

недостаток

  1. Токен по-прежнему действителен в таких сценариях, как выход из системы и вход в систему.
  2. Проблема с обновлением токена

публика

Если вы хотите следить за моими обновленными статьями и делиться галантерейными товарами в режиме реального времени, вы можете подписаться на мой официальный аккаунт.

我的公众号

Категории