AI 助理
文档备案控制台
开发者社区 开发与运维 文章 正文

鉴权

2025-12-30 185
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介： 本文介绍基于Spring Security与JWT实现客户端Token认证方案，涵盖从登录鉴权、Token生成与验证到权限控制的完整流程。通过自定义过滤器与认证组件，结合RBAC思路，实现安全可靠的无状态API访问机制，适用于Spring Boot应用的安全防护。

1.客户端Token方案
1.1 实现思路

1.2 实现细节
参考：https://www.cnblogs.com/dalaoyang/p/11783225.html
2.JWT + Security
● RFC7519
● JWT

JWT很大程度上还是个新技术，通过使用HMAC(Hash-based Message Authentication Code)计算信息摘要，也可以用RSA公私钥中的私钥进行签名。这个根据业务场景进行选择。
2.1 pom依赖


org.springframework.boot
spring-boot-starter-security


io.jsonwebtoken
jjwt
0.7.0


在/login进行登录并获得Token。剩余接口做token验签，这里我们需要将spring-boot-starter-security加入pom.xml。加入后，我们的Spring Boot项目将需要提供身份验证，相关的pom.xml如下:

至此我们剩余所有的路由都需要身份验证。我们将引入一个安全设置类WebSecurityConfig，这个类需要从WebSecurityConfigurerAdapter类继承。
2.2 安全设置类WebSecurityConfig

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.http.HttpMethod;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;

@Configuration
@EnableWebSecurity
class WebSecurityConfig extends WebSecurityConfigurerAdapter {
// 设置 HTTP 验证规则
@Override
protected void configure(HttpSecurity http) throws Exception {
// 关闭csrf验证
http.csrf().disable()
// 对请求进行认证
.authorizeRequests()
// 所有 / 的所有请求 都放行
.antMatchers("/").permitAll()
// 所有 /login 的POST请求 都放行
.antMatchers(HttpMethod.POST, "/login").permitAll()
// 权限检查
.antMatchers("/hello").hasAuthority("AUTH_WRITE")
// 角色检查
.antMatchers("/world").hasRole("ADMIN")
// 所有请求需要身份认证
.anyRequest().authenticated()
.and()
// 添加一个过滤器 所有访问 /login 的请求交给 JWTLoginFilter 来处理 这个类处理所有的JWT相关内容
.addFilterBefore(new JWTLoginFilter("/login", authenticationManager()),
UsernamePasswordAuthenticationFilter.class)
// 添加一个过滤器验证其他请求的Token是否合法
.addFilterBefore(new JWTAuthenticationFilter(),
UsernamePasswordAuthenticationFilter.class);
}

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    // 使用自定义身份验证组件
    auth.authenticationProvider(new CustomAuthenticationProvider());
}

// 注入自定义Bean，保证该类能够注入其它Bean，如果没有这步将导致CustomAuthenticationProvider中注入Bean失败
@Bean
CustomAuthenticationProvider customAuthenticationProvider() {
    return new CustomAuthenticationProvider();
}

}

先放两个基本类，一个负责存储用户名密码，另一个是一个权限类型，负责存储权限和角色。
2.3 权限类型及角色类
import org.springframework.security.core.GrantedAuthority;

class GrantedAuthorityImpl implements GrantedAuthority{
private String authority;
public GrantedAuthorityImpl(String authority) {
this.authority = authority;
}
public void setAuthority(String authority) {
this.authority = authority;
}
@Override
public String getAuthority() {
return this.authority;
}
}
2.4 用户名密码类

class AccountCredentials {
private String username;
private String password;
public String getUsername() {
return username;
}
public void setUsername(String username) {
this.username = username;
}
public String getPassword() {
return password;
}
public void setPassword(String password) {
this.password = password;
}
}

在上面的安全设置类中，我们设置所有人都能访问/和POST方式访问/login，其他的任何路由都需要进行认证。然后将所有访问/login的请求，都交给JWTLoginFilter过滤器来处理。稍后我们会创建这个过滤器和其他这里需要的JWTAuthenticationFilter和CustomAuthenticationProvider两个类。
2.5 JWT生成及验签类

import com.test.framework.client.dto.response.JSONResultDTO;
import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.AuthorityUtils;

import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.util.Date;
import java.util.List;

class TokenAuthenticationService {
// 5天(单位ms,需要是24H的整数倍：如0.1倍，1倍，10倍，不能0.34倍)
static final long EXPIRATIONTIME = 432_000_000;
static final String SECRET = "P@ssw02d"; // JWT密码
static final String TOKEN_PREFIX = "Bearer"; // Token前缀
static final String HEADER_STRING = "Authorization";// 存放Token的Header Key
// JWT生成方法
static void addAuthentication(HttpServletResponse response, String username) {
// 生成JWT
String JWT = Jwts.builder()
// 保存权限（角色）
.claim("authorities", "ROLE_ADMIN,AUTH_WRITE")
// 用户名写入标题
.setSubject(username)
// 有效期设置
.setExpiration(new Date(System.currentTimeMillis() + EXPIRATIONTIME))
// 签名设置
.signWith(SignatureAlgorithm.HS512, SECRET)
.compact();
// 将 JWT 写入 body
try {
response.setContentType("application/json");
response.setStatus(HttpServletResponse.SC_OK);
response.getOutputStream().println(JSONResult.fillResultString(0, "", JWT));
} catch (IOException e) {
e.printStackTrace();
}
}
// JWT验证方法
static Authentication getAuthentication(HttpServletRequest request) {
// 从Header中拿到token
String token = request.getHeader(HEADER_STRING);
if (token != null) {
// 解析 Token
Claims claims = Jwts.parser()
// 验签
.setSigningKey(SECRET)
// 去掉 Bearer
.parseClaimsJws(token.replace(TOKEN_PREFIX, ""))
.getBody();
// 拿用户名
String user = claims.getSubject();
// 得到 权限（角色）
List authorities = AuthorityUtils.commaSeparatedStringToAuthorityList((String) claims.get("authorities"));
// 返回验证令牌
return user != null ?
new UsernamePasswordAuthenticationToken(user, null, authorities) :
null;
}
return null;
}
}

这个类就两个static方法，一个负责生成JWT，一个负责认证JWT最后生成验证令牌。注释已经写得很清楚了，这里不多说了。
下面来看自定义验证组件，这里简单写了，这个类就是提供密码验证功能，在实际使用时换成自己相应的验证逻辑，从数据库中取出、比对、赋予用户相应权限。
2.6 自定义验证组件类

import com.test.framework.web.domain.dbdo.doctor.DoctorDTO;
import com.test.framework.web.domain.dbdo.patient.UserDTO;
import com.test.framework.web.domain.vo.GrantedAuthorityVo;
import com.test.framework.web.service.doctor.DoctorService;
import com.test.framework.web.service.user.UserService;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.authentication.AuthenticationProvider;
import org.springframework.security.authentication.BadCredentialsException;
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.AuthenticationException;

import java.util.ArrayList;

// 自定义身份认证验证组件
class CustomAuthenticationProvider implements AuthenticationProvider { 

@Autowired
private UserService userService;

@Override
public Authentication authenticate(Authentication authentication) throws AuthenticationException {
    // 获取认证的用户名 & 密码
    String name = authentication.getName();
    String password = authentication.getCredentials().toString();
    // 认证逻辑，我这里以password为类型，name为真正的查询参数进行DB查询，不同业务场景可以自定义参数查询
    // 验证用户名密码是否存在
    boolean isExist = false;
    if("patient".equalsIgnoreCase(password)) {
        // 查询患者信息是否存在
        UserDTO user = userService.getUserByIdCardNo(name);
        if(null != user) {
            isExist = true;
        }
    }
    if (isExist) {
        // 这里设置权限和角色
        ArrayList<GrantedAuthority> authorities = new ArrayList<>();
        authorities.add( new GrantedAuthorityImpl("ROLE_ADMIN") );
        authorities.add( new GrantedAuthorityImpl("AUTH_WRITE") );
        // 生成令牌
        Authentication auth = new UsernamePasswordAuthenticationToken(name, password, authorities);
        return auth;
    }else {
        throw new BadCredentialsException("密码错误~");
    }
}
// 是否可以提供输入类型的认证服务
@Override
public boolean supports(Class<?> authentication) {
    return authentication.equals(UsernamePasswordAuthenticationToken.class);
}

}

2.7 接口类
@Service
public class UserServiceImpl implements UserService { 

@Autowired
private UserMapper userMapper;

@Override
public UserDTO getUserByIdCardNo(String idCardNo) {
    return userMapper.getUserByIdCardNo(idCardNo);
}

}
@Repository
public interface UserMapper { 

/**
 * 查找患者信息
 * @param idCardNo
 * @return
 */
UserDTO getUserByIdCardNo(String idCardNo);

}


SELECT * FROM USER


ID_CARD_NO =#{idCardNo}

AND VALID_FLAG='ENABLE'

LIMIT 1

下面实现JWTLoginFilter 这个Filter比较简单，除了构造函数需要重写三个方法。
● attemptAuthentication - 登录时需要验证时候调用
● successfulAuthentication - 验证成功后调用
● unsuccessfulAuthentication - 验证失败后调用，这里直接灌入500错误返回，由于同一JSON返回，HTTP就都返回200了

2.8 JWTLoginFilter

import com.fasterxml.jackson.databind.ObjectMapper;
import com.test.framework.client.dto.response.JSONResultDTO;
import com.test.framework.web.domain.vo.AccountCredentials;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.AuthenticationException;
import org.springframework.security.web.authentication.AbstractAuthenticationProcessingFilter;
import org.springframework.security.web.util.matcher.AntPathRequestMatcher;

import javax.servlet.FilterChain;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

class JWTLoginFilter extends AbstractAuthenticationProcessingFilter {
public JWTLoginFilter(String url, AuthenticationManager authManager) {
super(new AntPathRequestMatcher(url));
setAuthenticationManager(authManager);
}
@Override
public Authentication attemptAuthentication(
HttpServletRequest req, HttpServletResponse res)
throws AuthenticationException, IOException, ServletException {
// JSON反序列化成 AccountCredentials
AccountCredentials creds = new ObjectMapper().readValue(req.getInputStream(), AccountCredentials.class);
// 返回一个验证令牌
return getAuthenticationManager().authenticate(
new UsernamePasswordAuthenticationToken(
creds.getUsername(),
creds.getPassword()
)
);
}
@Override
protected void successfulAuthentication(
HttpServletRequest req,
HttpServletResponse res, FilterChain chain,
Authentication auth) throws IOException, ServletException {
TokenAuthenticationService.addAuthentication(res, auth.getName());
}
@Override
protected void unsuccessfulAuthentication(HttpServletRequest request, HttpServletResponse response, AuthenticationException failed) throws IOException, ServletException {
response.setContentType("application/json");
response.setStatus(HttpServletResponse.SC_OK);
response.getOutputStream().println(JSONResult.fillResultString(500, "Internal Server Error!!!", JSONObject.NULL));
}
}

再完成最后一个类JWTAuthenticationFilter，这也是个拦截器，它拦截所有需要JWT的请求，然后调用TokenAuthenticationService类的静态方法去做JWT验证。

2.9 拦截器JWTAuthenticationFilter

import org.springframework.security.core.Authentication;
import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.web.filter.GenericFilterBean;

import javax.servlet.FilterChain;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import java.io.IOException;

class JWTAuthenticationFilter extends GenericFilterBean {
@Override
public void doFilter(ServletRequest request,
ServletResponse response,
FilterChain filterChain)
throws IOException, ServletException {
Authentication authentication = TokenAuthenticationService
.getAuthentication((HttpServletRequest)request);
SecurityContextHolder.getContext()
.setAuthentication(authentication);
filterChain.doFilter(request,response);
}
}

现在代码就写完了，整个Spring Security结合JWT基本就差不多了，下面我们来测试下，并说下整体流程。
开始测试，先运行整个项目，这里介绍下过程：
● 先程序启动 - main函数
● 注册验证组件 - WebSecurityConfig 类 configure(AuthenticationManagerBuilder auth)方法，这里我们注册了自定义验证组件
● 设置验证规则 - WebSecurityConfig 类 configure(HttpSecurity http)方法，这里设置了各种路由访问规则
● 初始化过滤组件 - JWTLoginFilter 和 JWTAuthenticationFilter 类会初始化
首先测试获取Token，这里使用CURL命令行工具来测试。
2.10 验证

curl -H "Content-Type: application/json" -X POST -d '{"username":"admin","password":"123456"}' http://127.0.0.1:8080/login

结果：

{
"result": "eyJhbGciOiJIUzUxMiJ9.eyJhdXRob3JpdGllcyI6IlJPTEVfQURNSU4sQVVUSF9XUklURSIsInN1YiI6ImFkbWluIiwiZXhwIjoxNDkzNzgyMjQwfQ.HNfV1CU2CdAnBTH682C5-KOfr2P71xr9PYLaLpDVhOw8KWWSJ0lBo0BCq4LoNwsK_Y3-W3avgbJb0jW9FNYDRQ",
"message": "",
"status": 0
}

这里我们得到了相关的JWT，反Base64之后,就是下面的内容，标准JWT。

{"alg":"HS512"}{"authorities":"ROLE_ADMIN,AUTH_WRITE","sub":"admin","exp":1493782240}ͽ]BS`pS6~hCVH%
ܬ)֝ଖoE5р

整个过程如下：
● 拿到传入JSON，解析用户名密码 - JWTLoginFilter 类 attemptAuthentication 方法
● 自定义身份认证验证组件，进行身份认证 - CustomAuthenticationProvider 类 authenticate 方法
● 盐城成功 - JWTLoginFilter 类 successfulAuthentication 方法
● 生成JWT - TokenAuthenticationService 类 addAuthentication方法

再测试一个访问资源的：
curl -H "Content-Type: application/json" -H "Authorization: Bearer eyJhbGciOiJIUzUxMiJ9.eyJhdXRob3JpdGllcyI6IlJPTEVfQURNSU4sQVVUSF9XUklURSIsInN1YiI6ImFkbWluIiwiZXhwIjoxNDkzNzgyMjQwfQ.HNfV1CU2CdAnBTH682C5-KOfr2P71xr9PYLaLpDVhOw8KWWSJ0lBo0BCq4LoNwsK_Y3-W3avgbJb0jW9FNYDRQ"http://127.0.0.1:8080/users

结果：

{
"result":["freewolf","tom","jerry"],
"message":"",
"status":0
}

说明我们的Token生效可以正常访问。其他的结果您可以自己去测试。再回到处理流程：
● 接到请求进行拦截 - JWTAuthenticationFilter 中的方法
● 验证JWT - TokenAuthenticationService 类 getAuthentication 方法
● 访问Controller
这样本文的主要流程就结束了，本文主要介绍了，如何用Spring Security结合JWT保护你的Spring Boot应用。如何使用Role和Authority，这里多说一句其实在Spring Security中，对于GrantedAuthority接口实现类来说是不区分是Role还是Authority，二者区别就是如果是hasAuthority判断，就是判断整个字符串，判断hasRole时，系统自动加上ROLE_到判断的Role字符串上，也就是说hasRole("CREATE")和hasAuthority('ROLE_CREATE')是相同的。利用这些可以搭建完整的RBAC体系。本文到此，你已经会用了本文介绍的知识点。
3.完整代码(未脱敏)

文章标签：
安全
Java
Spring
数据格式
JSON
游客t5ih6iyncryio
目录
相关文章
游客t5ih6iyncryio
|
4月前
|
存储 缓存 安全
常用过滤器介绍
Spring Security通过过滤器链实现安全控制，涵盖认证、授权、CSRF防护等。如SecurityContextPersistenceFilter管理上下文，UsernamePasswordAuthenticationFilter处理登录，LogoutFilter处理退出。不同配置下过滤器数量与类型动态变化，灵活适配各类安全需求。（238字）
游客t5ih6iyncryio
28 0
游客t5ih6iyncryio
|
4月前
|
安全 Java 网络架构
.认识SpringSecurity
Spring Security 是基于过滤器链的鉴权框架，支持表单、OAuth2、JWT 等多种认证方式，提供URL、方法级鉴权及RBAC模型，具备CSRF防护等安全机制，通过FilterChainProxy实现灵活的安全过滤链与异常处理。
游客t5ih6iyncryio
52 0
游客t5ih6iyncryio
|
4月前
|
安全 Java 数据安全/隐私保护
.通用权限管理模型
本文介绍了ACL和RBAC两种常见权限模型。ACL通过直接为用户或角色分配对象权限实现控制，结构简单；RBAC则基于角色进行权限管理，支持角色继承与职责分离，更适用于复杂系统。还简要提及DAC、MAC、ABAC等模型，帮助读者建立权限体系的全局认知。
游客t5ih6iyncryio
40 0
游客t5ih6iyncryio
|
4月前
|
存储 缓存 Java
自动装配机制
由@ComponentScan、@SpringBootConfiguration和@EnableAutoConfiguration组成。其中@ComponentScan负责包扫描，@SpringBootConfiguration标识配置类，@EnableAutoConfiguration通过@AutoConfigurationPackage注册主包路径，并借助AutoConfigurationImportSelector加载spring.factories中预定义的自动配置类，实现自动装配。结合元注解与条件化配置，完成从启动类到全量Bean的自动化注入与管理。
游客t5ih6iyncryio
68 0
游客t5ih6iyncryio
|
4月前
|
Web App开发 安全 JavaScript
5.跨域处理
本文介绍了跨域问题的产生原因及解决方案。当协议、域名或端口不同时，浏览器因同源策略阻止资源访问。通过CORS（跨域资源共享）可在服务端设置`Access-Control-Allow-Origin`等响应头实现跨域。常用方案包括：使用`@CrossOrigin`注解限制特定域名访问；全局配置`WebMvcConfigurer`统一管理跨域规则；或通过自定义Filter添加跨域头。三种方式均可有效解决跨域问题，保障安全的同时提升系统兼容性。（238字）
游客t5ih6iyncryio
91 0
游客t5ih6iyncryio
|
4月前
|
JSON 数据格式
4. 不定参数入参
支持多种参数传递方式：非JSON格式可通过@RequestBody、@RequestParam或直接传参；JSON格式支持JSONObject解析及封装对象接收，结合@Valid实现参数校验，提升接口安全性与可维护性。（238字）
游客t5ih6iyncryio
47 0
游客t5ih6iyncryio
|
4月前
|
存储 监控 Java
2. 整合切面，参数拦截+过滤
该类基于Spring AOP实现请求参数日志拦截，通过@Aspect切面记录请求来源、URL、方式、方法及入参，结合@Before、@After与@Around增强，统计接口耗时并输出日志，便于调试与监控，适用于Controller层统一日志处理。（238字）
游客t5ih6iyncryio
60 0
游客t5ih6iyncryio
|
4月前
@Inherited
@Inherited用于注解，使子类继承父类中标记该注解的元数据，仅在类继承时生效，接口继承或类实现接口均不继承注解。
游客t5ih6iyncryio
33 0
游客t5ih6iyncryio
|
4月前
|
XML Java 数据格式
@Configuration
被@Configuration标注的类会被Spring容器识别为配置类，作用等同于XML配置文件。通过@Bean注解可注册Bean实例，如示例中将Date对象注入容器。使用AnnotationConfigApplicationContext加载配置类后，容器会管理所有定义的Bean，包括配置类自身，实现基于Java的配置方式。
游客t5ih6iyncryio
45 0
游客t5ih6iyncryio
|
4月前
|
SQL 缓存 Java
汇总
MyBatis配置优先级：方法参数 &gt; resource/url &gt; properties内。支持多环境、事务管理（JDBC/MANAGED），提供一对一、一对多、多对多映射，分页支持逻辑与物理方式，推荐大数据量用物理分页，结合缓存与执行器优化性能。
游客t5ih6iyncryio
41 0

热门文章

最新文章

  • 1
    DNS查询工具简介
  • 2
    Tomcat 7优化配置参数
  • 3
    《Cloud Native 》云原生技术汇总
  • 4
    Spring Boot 学习研究笔记(十七) -Spring boot JPA的复杂查询
  • 5
    单片机基础知识整理
  • 6
    手写redux方法以及数组reduce方法
  • 7
    以优质氘代产品为刃，劈开生物原材料市场壁垒
  • 8
    canvas-渐变文字
  • 9
    日本设计的七个原则
  • 10
    struts2学习笔记--总结获取servletAPI的几种方式
  • 1
    零基础零门槛！OpenClaw阿里云无影云电脑一键部署、iMessage对接与大模型千问Qwen3.6-Plus配置实战手册
    58
  • 2
    阿里云轻量服务器部署OpenClaw图文教程：飞书集成+千问Qwen3.6-Plus配置+新手避坑指南
    63
  • 3
    Claude Code、Codex接管开发流程，测试工程师下一步该做什么？
    102
  • 4
    阿里云ECS云服务器部署 OpenClaw 图文攻略｜LINE集成+千问Qwen3.6-Plus配置+新手避坑指南
    48
  • 5
    别再无效刷题了！2026校招笔试高频考点权重排序（附大厂内部评分标准）
    48
  • 6
    阿里云计算巢部署 OpenClaw 图文攻略：微信小程序集成+千问Qwen3.6-Plus配置+新手避坑指南
    47
  • 7
    零基础保姆级图文教程：阿里云计算巢OpenClaw部署、微信小程序接入与千问大模型API配置及避坑指南
    64
  • 8
    “养龙虾”全攻略｜OpenClaw(龙虾AI)阿里云轻量服务器零基础部署+QQ等四大IM集成+千问API配置指南
    59
  • 9
    分布式事务解决方案Seata之AT事务
    50
  • 10
    基于 YOLO的咖啡果实成熟度检测系统~Python+YOLO算法+模型训练+目标检测+2026原创
    43

    • 相关电子书

    更多
  • 低代码开发师（初级）实战教程
  • 冬季实战营第三期：MySQL数据库进阶实战
  • 阿里巴巴DevOps 最佳实践手册
    • 下一篇
    PHP：将本地文件上传到阿里云OSS存储