Spring Boot+Spring Security+JWT 實現 RESTful Api 權限控制

摘要：用spring-boot開發RESTful API非常的方便，在生產環境中，對發布的API增加授權保護是非常必要的。現在我們來看如何利用JWT技術為API增加授權保護，保證只有獲得授權的用戶才能夠訪問API。

 

一：開發一個簡單的API

在IDEA開發工具中新建一個maven工程，添加對應的依賴如下：

1.  
   <dependency>
2.  
   <groupId>org.springframework.boot</groupId>
3.  
   <artifactId>spring-boot-starter</artifactId>
4.  
   </dependency>
5.  
    
6.  
   <dependency>
7.  
   <groupId>org.springframework.boot</groupId>
8.  
   <artifactId>spring-boot-starter-test</artifactId>
9.  
   <scope>test</scope>
10.  
    </dependency>
11.  
     
12.  
    <dependency>
13.  
    <groupId>org.springframework.boot</groupId>
14.  
    <artifactId>spring-boot-starter-web</artifactId>
15.  
    </dependency>
16.  
     
17.  
    <!-- spring-data-jpa -->
18.  
    <dependency>
19.  
    <groupId>org.springframework.boot</groupId>
20.  
    <artifactId>spring-boot-starter-data-jpa</artifactId>
21.  
    </dependency>
22.  
     
23.  
    <!-- mysql -->
24.  
    <dependency>
25.  
    <groupId>mysql</groupId>
26.  
    <artifactId>mysql-connector-java</artifactId>
27.  
    <version>5.1.30</version>
28.  
    </dependency>
29.  
     
30.  
    <!-- spring-security 和 jwt -->
31.  
    <dependency>
32.  
    <groupId>org.springframework.boot</groupId>
33.  
    <artifactId>spring-boot-starter-security</artifactId>
34.  
    </dependency>
35.  
    <dependency>
36.  
    <groupId>io.jsonwebtoken</groupId>
37.  
    <artifactId>jjwt</artifactId>
38.  
    <version>0.7.0</version>
39.  
    </dependency>

新建一個UserController.java文件，在里面在中增加一個hello方法：

 

1.  
   @RequestMapping("/hello")
2.  
   @ResponseBody
3.  
   public String hello(){
4.  
   return "hello";
5.  
   }

這樣一個簡單的RESTful API就開發好了。

現在我們運行一下程序看看效果，執行JwtauthApplication.java類中的main方法：

等待程序啟動完成后，可以簡單的通過curl工具進行API的調用，如下圖：

 

 

 

 

 

 

 

 

 

 

至此，我們的接口就開發完成了。但是這個接口沒有任何授權防護，任何人都可以訪問，這樣是不安全的，下面我們開始加入授權機制。

 

二：增加用戶注冊功能

首先增加一個實體類User.java：

 

1.  
   package boss.portal.entity;
2.  
    
3.  
   import javax.persistence.*;
4.  
    
5.  
   /**
6.  
   * @author zhaoxinguo on 2017/9/13.
7.  
   */
8.  
   @Entity
9.  
   @Table(name = "tb_user")
10.  
    public class User {
11.  
     
12.  
    @Id
13.  
    @GeneratedValue
14.  
    private long id;
15.  
    private String username;
16.  
    private String password;
17.  
     
18.  
    public long getId() {
19.  
    return id;
20.  
    }
21.  
     
22.  
    public String getUsername() {
23.  
    return username;
24.  
    }
25.  
     
26.  
    public void setUsername(String username) {
27.  
    this.username = username;
28.  
    }
29.  
     
30.  
    public String getPassword() {
31.  
    return password;
32.  
    }
33.  
     
34.  
    public void setPassword(String password) {
35.  
    this.password = password;
36.  
    }
37.  
    }

 

然后增加一個Repository類UserRepository，可以讀取和保存用戶信息：

 

1.  
   package boss.portal.repository;
2.  
    
3.  
   import boss.portal.entity.User;
4.  
   import org.springframework.data.jpa.repository.JpaRepository;
5.  
    
6.  
   /**
7.  
   * @author zhaoxinguo on 2017/9/13.
8.  
   */
9.  
   public interface UserRepository extends JpaRepository<User, Long> {
10.  
     
11.  
    User findByUsername(String username);
12.  
     
13.  
    }

在UserController類中增加注冊方法，實現用戶注冊的接口：

1.  
   /**
2.  
   * 該方法是注冊用戶的方法，默認放開訪問控制
3.  
   * @param user
4.  
   */
5.  
   @PostMapping("/signup")
6.  
   public void signUp(@RequestBody User user) {
7.  
   user.setPassword(bCryptPasswordEncoder.encode(user.getPassword()));
8.  
   applicationUserRepository.save(user);
9.  
   }

 

其中的 @PostMapping("/signup")

這個方法定義了用戶注冊接口，並且指定了url地址是/users/signup。由於類上加了注解 @RequestMapping(“/users”)，類中的所有方法的url地址都會有/users前綴，所以在方法上只需指定/signup子路徑即可。

密碼采用了BCryptPasswordEncoder進行加密，我們在Application中增加BCryptPasswordEncoder實例的定義。

1.  
   package boss.portal;
2.  
    
3.  
   import org.springframework.boot.SpringApplication;
4.  
   import org.springframework.boot.autoconfigure.SpringBootApplication;
5.  
   import org.springframework.context.annotation.Bean;
6.  
   import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
7.  
    
8.  
   @SpringBootApplication
9.  
   public class JwtauthApplication {
10.  
     
11.  
    @Bean
12.  
    public BCryptPasswordEncoder bCryptPasswordEncoder() {
13.  
    return new BCryptPasswordEncoder();
14.  
    }
15.  
     
16.  
    public static void main(String[] args) {
17.  
    SpringApplication.run(JwtauthApplication.class, args);
18.  
    }
19.  
    }

三：增加JWT認證功能

用戶填入用戶名密碼后，與數據庫里存儲的用戶信息進行比對，如果通過，則認證成功。傳統的方法是在認證通過后，創建sesstion，並給客戶端返回cookie。現在我們采用JWT來處理用戶名密碼的認證。區別在於，認證通過后，服務器生成一個token，將token返回給客戶端，客戶端以后的所有請求都需要在http頭中指定該token。服務器接收的請求后，會對token的合法性進行驗證。驗證的內容包括：

1. 內容是一個正確的JWT格式

2. 檢查簽名

3. 檢查claims

4. 檢查權限

處理登錄

創建一個類JWTLoginFilter，核心功能是在驗證用戶名密碼正確后，生成一個token，並將token返回給客戶端：

 

1.  
   package boss.portal.web.filter;
2.  
    
3.  
   import boss.portal.entity.User;
4.  
   import com.fasterxml.jackson.databind.ObjectMapper;
5.  
   import io.jsonwebtoken.Jwts;
6.  
   import io.jsonwebtoken.SignatureAlgorithm;
7.  
   import org.springframework.security.authentication.AuthenticationManager;
8.  
   import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
9.  
   import org.springframework.security.core.Authentication;
10.  
    import org.springframework.security.core.AuthenticationException;
11.  
    import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;
12.  
     
13.  
    import javax.servlet.FilterChain;
14.  
    import javax.servlet.ServletException;
15.  
    import javax.servlet.http.HttpServletRequest;
16.  
    import javax.servlet.http.HttpServletResponse;
17.  
    import java.io.IOException;
18.  
    import java.util.ArrayList;
19.  
    import java.util.Date;
20.  
     
21.  
    /**
22.  
    * 驗證用戶名密碼正確后，生成一個token，並將token返回給客戶端
23.  
    * 該類繼承自UsernamePasswordAuthenticationFilter，重寫了其中的2個方法
24.  
    * attemptAuthentication ：接收並解析用戶憑證。
25.  
    * successfulAuthentication ：用戶成功登錄后，這個方法會被調用，我們在這個方法里生成token。
26.  
    * @author zhaoxinguo on 2017/9/12.
27.  
    */
28.  
    public class JWTLoginFilter extends UsernamePasswordAuthenticationFilter {
29.  
     
30.  
    private AuthenticationManager authenticationManager;
31.  
     
32.  
    public JWTLoginFilter(AuthenticationManager authenticationManager) {
33.  
    this.authenticationManager = authenticationManager;
34.  
    }
35.  
     
36.  
    // 接收並解析用戶憑證
37.  
    @Override
38.  
    public Authentication attemptAuthentication(HttpServletRequest req,
39.  
    HttpServletResponse res) throws AuthenticationException {
40.  
    try {
41.  
    User user = new ObjectMapper()
42.  
    .readValue(req.getInputStream(), User.class);
43.  
     
44.  
    return authenticationManager.authenticate(
45.  
    new UsernamePasswordAuthenticationToken(
46.  
    user.getUsername(),
47.  
    user.getPassword(),
48.  
    new ArrayList<>())
49.  
    );
50.  
    } catch (IOException e) {
51.  
    throw new RuntimeException(e);
52.  
    }
53.  
    }
54.  
     
55.  
    // 用戶成功登錄后，這個方法會被調用，我們在這個方法里生成token
56.  
    @Override
57.  
    protected void successfulAuthentication(HttpServletRequest req,
58.  
    HttpServletResponse res,
59.  
    FilterChain chain,
60.  
    Authentication auth) throws IOException, ServletException {
61.  
     
62.  
    String token = Jwts.builder()
63.  
    .setSubject(((org.springframework.security.core.userdetails.User) auth.getPrincipal()).getUsername())
64.  
    .setExpiration( new Date(System.currentTimeMillis() + 60 * 60 * 24 * 1000))
65.  
    .signWith(SignatureAlgorithm.HS512, "MyJwtSecret")
66.  
    .compact();
67.  
    res.addHeader( "Authorization", "Bearer " + token);
68.  
    }
69.  
     
70.  
    }

 

該類繼承自UsernamePasswordAuthenticationFilter，重寫了其中的2個方法：

attemptAuthentication ：接收並解析用戶憑證。

successfulAuthentication ：用戶成功登錄后，這個方法會被調用，我們在這個方法里生成token。

授權驗證

用戶一旦登錄成功后，會拿到token，后續的請求都會帶着這個token，服務端會驗證token的合法性。

創建JWTAuthenticationFilter類，我們在這個類中實現token的校驗功能。

 

1.  
   package boss.portal.web.filter;
2.  
    
3.  
   import io.jsonwebtoken.Jwts;
4.  
   import org.springframework.security.authentication.AuthenticationManager;
5.  
   import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
6.  
   import org.springframework.security.core.context.SecurityContextHolder;
7.  
   import org.springframework.security.web.authentication.www.BasicAuthenticationFilter;
8.  
    
9.  
   import javax.servlet.FilterChain;
10.  
    import javax.servlet.ServletException;
11.  
    import javax.servlet.http.HttpServletRequest;
12.  
    import javax.servlet.http.HttpServletResponse;
13.  
    import java.io.IOException;
14.  
    import java.util.ArrayList;
15.  
     
16.  
    /**
17.  
    * token的校驗
18.  
    * 該類繼承自BasicAuthenticationFilter，在doFilterInternal方法中，
19.  
    * 從http頭的Authorization 項讀取token數據，然后用Jwts包提供的方法校驗token的合法性。
20.  
    * 如果校驗通過，就認為這是一個取得授權的合法請求
21.  
    * @author zhaoxinguo on 2017/9/13.
22.  
    */
23.  
    public class JWTAuthenticationFilter extends BasicAuthenticationFilter {
24.  
     
25.  
    public JWTAuthenticationFilter(AuthenticationManager authenticationManager) {
26.  
    super(authenticationManager);
27.  
    }
28.  
     
29.  
    @Override
30.  
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) throws IOException, ServletException {
31.  
    String header = request.getHeader( "Authorization");
32.  
     
33.  
    if (header == null || !header.startsWith("Bearer ")) {
34.  
    chain.doFilter(request, response);
35.  
    return;
36.  
    }
37.  
     
38.  
    UsernamePasswordAuthenticationToken authentication = getAuthentication(request);
39.  
     
40.  
    SecurityContextHolder.getContext().setAuthentication(authentication);
41.  
    chain.doFilter(request, response);
42.  
     
43.  
    }
44.  
     
45.  
    private UsernamePasswordAuthenticationToken getAuthentication(HttpServletRequest request) {
46.  
    String token = request.getHeader( "Authorization");
47.  
    if (token != null) {
48.  
    // parse the token.
49.  
    String user = Jwts.parser()
50.  
    .setSigningKey( "MyJwtSecret")
51.  
    .parseClaimsJws(token.replace( "Bearer ", ""))
52.  
    .getBody()
53.  
    .getSubject();
54.  
     
55.  
    if (user != null) {
56.  
    return new UsernamePasswordAuthenticationToken(user, null, new ArrayList<>());
57.  
    }
58.  
    return null;
59.  
    }
60.  
    return null;
61.  
    }
62.  
     
63.  
    }

 

該類繼承自BasicAuthenticationFilter，在doFilterInternal方法中，從http頭的Authorization 項讀取token數據，然后用Jwts包提供的方法校驗token的合法性。如果校驗通過，就認為這是一個取得授權的合法請求。

SpringSecurity配置

通過SpringSecurity的配置，將上面的方法組合在一起。

1.  
   package boss.portal.security;
2.  
    
3.  
   import boss.portal.web.filter.JWTLoginFilter;
4.  
   import boss.portal.web.filter.JWTAuthenticationFilter;
5.  
   import org.springframework.boot.autoconfigure.security.SecurityProperties;
6.  
   import org.springframework.context.annotation.Configuration;
7.  
   import org.springframework.core.annotation.Order;
8.  
   import org.springframework.http.HttpMethod;
9.  
   import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
10.  
    import org.springframework.security.config.annotation.web.builders.HttpSecurity;
11.  
    import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
12.  
    import org.springframework.security.core.userdetails.UserDetailsService;
13.  
    import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
14.  
     
15.  
    /**
16.  
    * SpringSecurity的配置
17.  
    * 通過SpringSecurity的配置，將JWTLoginFilter，JWTAuthenticationFilter組合在一起
18.  
    * @author zhaoxinguo on 2017/9/13.
19.  
    */
20.  
    @Configuration
21.  
    @Order(SecurityProperties.ACCESS_OVERRIDE_ORDER)
22.  
    public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
23.  
     
24.  
    private UserDetailsService userDetailsService;
25.  
     
26.  
    private BCryptPasswordEncoder bCryptPasswordEncoder;
27.  
     
28.  
    public WebSecurityConfig(UserDetailsService userDetailsService, BCryptPasswordEncoder bCryptPasswordEncoder) {
29.  
    this.userDetailsService = userDetailsService;
30.  
    this.bCryptPasswordEncoder = bCryptPasswordEncoder;
31.  
    }
32.  
     
33.  
    @Override
34.  
    protected void configure(HttpSecurity http) throws Exception {
35.  
    http.cors().and().csrf().disable().authorizeRequests()
36.  
    .antMatchers(HttpMethod.POST, "/users/signup").permitAll()
37.  
    .anyRequest().authenticated()
38.  
    .and()
39.  
    .addFilter( new JWTLoginFilter(authenticationManager()))
40.  
    .addFilter( new JWTAuthenticationFilter(authenticationManager()));
41.  
    }
42.  
     
43.  
    @Override
44.  
    public void configure(AuthenticationManagerBuilder auth) throws Exception {
45.  
    auth.userDetailsService(userDetailsService).passwordEncoder(bCryptPasswordEncoder);
46.  
    }
47.  
     
48.  
    }

這是標准的SpringSecurity配置內容，就不在詳細說明。注意其中的


.addFilter(new JWTLoginFilter(authenticationManager())) 
.addFilter(new JwtAuthenticationFilter(authenticationManager())) 


這兩行，將我們定義的JWT方法加入SpringSecurity的處理流程中。

下面對我們的程序進行簡單的驗證：

# 請求hello接口，會收到403錯誤，如下圖：

curl http://localhost:8080/hello

# 注冊一個新用戶curl -H"Content-Type: application/json" -X POST -d '{"username":"admin","password":"password"}' http://localhost:8080/users/signup

如下圖：

# 登錄，會返回token，在http header中，Authorization: Bearer 后面的部分就是tokencurl -i -H"Content-Type: application/json" -X POST -d '{"username":"admin","password":"password"}' http://localhost:8080/login

如下圖：

 

# 用登錄成功后拿到的token再次請求hello接口# 將請求中的XXXXXX替換成拿到的token# 這次可以成功調用接口了curl -H"Content-Type: application/json" \-H"Authorization: Bearer XXXXXX" \"http://localhost:8080/users/hello"

如下圖：

五：總結

 

至此，給SpringBoot的接口加上JWT認證的功能就實現了，過程並不復雜，主要是開發兩個SpringSecurity的filter，來生成和校驗JWT token。

JWT作為一個無狀態的授權校驗技術，非常適合於分布式系統架構，因為服務端不需要保存用戶狀態，因此就無需采用redis等技術，在各個服務節點之間共享session數據。

 

六：源碼下載地址：

地址： https://gitee.com/micai/springboot-springsecurity-jwt-demo

 

七：建議及改進：
若您有任何建議，可以通過1）加入qq群715224124向群主提出，或2）發送郵件至[e-mail]向我反饋。本人承諾，任何建議都將會被認真考慮，優秀的建議將會被采用，但不保證一定會在當前版本中實現。

 

八：鳴謝地址：

http://blog.csdn.net/haiyan_qi/article/details/77373900

https://segmentfault.com/a/1190000009231329

http://www.jianshu.com/p/6307c89fe3fa

http://www.cnblogs.com/grissom007/p/6294746.html