SpringBoot+SpringSecurity+JWT实现认证和授权

原创 已于 2022-05-04 14:03:53 修改 · 置顶 · 5.5w 阅读 · 852 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#jwt #java #spring #spring boot #security

于 2021-01-17 23:40:52 首次发布
本文介绍如何在SpringBoot项目中结合SpringSecurity和JWT实现一套完整的认证与授权方案，包括用户登录、生成JWT Token、解析验证Token以及权限控制。

SprinBoot 系列文章：

Spring Boot入门之Hello Spring Boot
SpringBoot 配置多个JdbcTemplate
SpringBoot 整合Mybatis
CAS统一登录认证(3): CAS 客户端接入实践
SpringBoot 整合Mail实现邮件发送
数据库连接池优化配置(druid,dbcp,c3p0)
SpringBoot+SpringSecurity+mysql实现认证与授

SpringBoot+Spring Security基于内存用户认证 
SpringBoot+WebSocket在线聊天室、消息推送  
SpringBoot+SpringData JPA操作Mysql数据库  
SpringBoot热部署值devtools配置
Spring Boot 资源文件属性配置  
Spring Boot Server等内容的配置
Spring Boot + FreeMarker模板  
SpringBoot+thymeleaf模板

SpringBoot + JDBC 连接MYSQL数据库
Zipkin分布式任务追踪  
SpringBoot应用部署到外置Tomcat  
Spring Boot + Swagger2 自动生成api接口文档  

SpringBoot整合Shiro安全框架          
SpringBoot+CAS Client 实现单点登录

SpringBoot 整合MyBatis-Plus  
SpringBoot + validation 接口参数校验
Springboot+Redis 实现API接口防刷限流
          
ShardingSphere-ShardingJdbc 数据分片(分库、分表)
ShardingSphere-ShardingJdbc 读写分离
ShardingSphere-ShardingJdbc 数据脱敏

            
springboot+sms 集成腾讯云短信平台
SpringBoot+RabbitMQ 实现消息队列
快速从零搭建一个SpringBoot Web项目
从零快速搭建一个SpringBoot Web项目
            
SpringBoot+ElasticSearch 实现全文检索
访问ElasticSearch的几种方式
SpringBoot + Activiti 工作流引擎（一、基本概念与环境搭建）
SpringBoot + Activiti 工作流引擎（二、流程&任务操作）
SpringBoot 定时任务 实现方式
            
SpringBoot + EhCache实现本地缓存
SpringBoot + Redis 实现分布式缓存 

一、背景：

在 B/S 系统中，登录功基本都是依靠 Cookie 来实现的，用户登录成功之后主要需要客户端和服务端完成以下两项工作：

（1）服务端将登录状态记录到 Session 中，或者签发Token；

（2）客户端利用Cookie保存于服务端对应的 Session ID 或 Token。之后每次请求都会带上Cookie信息(包含Session ID或者Token），当服务端收到请求后，通过验证 Cookie 中的信息来判断用户是否登录 。

单点登录： 单点登录（Single Sign On, SSO）是指在同一帐号平台下的多个应用系统中，用户只需登录一次，即可访问所有相互信任的应用系统。单点登录的本质就是在多个应用系统中共享登录状态。 SSO是目前比较流行的企业业务整合的解决方案之一。

如果用户的登录状态是记录在 Session 中的，要实现共享登录状态，就要先共享 Session，比如可以将 Session 序列化到 Redis 中，让多个应用系统共享同一个 Redis，直接读取 Redis 来获取 Session。当然仅此是不够的，因为不同的应用系统有着不同的域名，尽管 Session 共享了，但是由于 Session ID 是往往保存在浏览器 Cookie 中的，因此存在作用域的限制，无法跨域名传递，也就是说当用户在 app1.com 中登录后，Session ID 仅在浏览器访问 app1.com 时才会自动在请求头中携带，而当浏览器访问 app2.com 时，Session ID 是不会被带过去的。实现单点登录的关键在于，如何让 Session ID（或 Token）在多个域中共享。

目前而言，主要有以下3种方式：

（1）父域 Cookie：例如：baike.baidu.com、wenku.baidu.com、zhida.baidu.com可以将认证的cookie放入baidu.com这个父级域名中，从而实现登录信息的共享。此种实现方式比较简单，但不支持跨主域名。

（2）认证中心：我们可以部署一个认证中心，认证中心就是一个专门负责处理登录请求的独立的 Web 服务。用户统一在认证中心进行登录，登录成功后，认证中心记录用户的登录状态，并将 Token 写入 Cookie。（注意这个 Cookie 是认证中心的，应用系统是访问不到的。）

应用系统检查当前请求有没有 Token，如果没有，说明用户在当前系统中尚未登录，那么就将页面跳转至认证中心。由于这个操作会将认证中心的 Cookie 自动带过去，因此，认证中心能够根据 Cookie 知道用户是否已经登录过了。如果认证中心发现用户尚未登录，则返回登录页面，等待用户登录，如果发现用户已经登录过了，就不会让用户再次登录了，而是会跳转回目标 URL ，并在跳转前生成一个 Token，拼接在目标 URL 的后面，回传给目标应用系统。

应用系统拿到 Token 之后，还需要向认证中心确认下 Token 的合法性，防止用户伪造。确认无误后，应用系统记录用户的登录状态，并将 Token 写入 Cookie，然后给本次访问放行。（注意这个 Cookie 是当前应用系统的，其他应用系统是访问不到的。）当用户再次访问当前应用系统时，就会自动带上这个 Token，应用系统验证 Token 发现用户已登录，于是就不会有认证中心什么事了。

目前被广泛使用的方案主要是Apereo CAS 。Apereo CAS 是一个企业级单点登录系统，其中 CAS 的意思是”Central Authentication Service“。它最初是耶鲁大学实验室的项目，后来转让给了 JASIG 组织，项目更名为 JASIG CAS，后来该组织并入了 Apereo 基金会，项目也随之更名为 Apereo CAS。

（3）LocalStorage 跨域：在前后端分离的情况下，完全可以不使用 Cookie，我们可以选择将 Session ID （或 Token ）保存到浏览器的 LocalStorage 中，让前端在每次向后

最低0.47元/天 解锁文章
SpringBoot整合Jwt、SpringSecurity实现登录认证以及Swgger相应配置
FUKKKKK1的博客
11-05 1436
基于SpringBoot整合Jwt、SpringSecurity实现登录认证的功能，以及完成了Swgger相应配置实现了API文档界面的操作
【springboot】整合JWT+spring-security
GodFatherMisZhao的博客
03-06 1428
整合spring-security+JWT
springboot整合security与jwt
08-05
springboot2.0整合security与jwt， 还整合了redis,与swagger-ui
在 SpringBoot 中集成 Spring Security + JWT 实现基于 Token 的身份认证
最新发布
良月柒
10-31 229
方法创建一个新的 JwtBuilder 对象，设置 JWT 的 subject（即用户名）、发布日期（issue date）和到期日期（expiration date），并使用 key() 方法对 JWT 进行签名。小项目有Shiro的比较多，因为相比与SpringSecurity，Shiro的上手更加的简单。然后，它会从 JWT 的 Claims 对象中获取 subject（即用户名），并以字符串形式返回。）的关系，即多个用户（User）可以关联到同一个角色（Role），但每个用户只能属于一个角色。
spring boot + spring security + Jwt
qq_36722687的博客
06-30 861
spring boot + spring security + Jwt主要依赖标题新的改变功能快捷键合理的创建标题，有助于目录的生成如何改变文本的样式插入链接与图片如何插入一段漂亮的代码片生成一个适合你的列表创建一个表格设定内容居中、居左、居右SmartyPants创建一个自定义列表如何创建一个注脚注释也是必不可少的KaTeX数学公式新的甘特图功能，丰富你的文章UML 图表FLowchart流程图导出与导入导出导入 主要依赖 <dependency> <grou
SpringBoot 集成 SpringSecurity+JWT
asksl的博客
11-29 4923
SpringBoot 集成 SpringSecurity+JWT
springboot+springSecurity+jwt实现登录认证后令牌授权
09-12
在这个项目中，我们将探讨如何利用Spring Boot、Spring Security和JWT来实现登录认证后的令牌授权。 首先，让我们从Spring Boot开始。Spring Boot简化了Spring应用的初始搭建以及开发过程。通过提供默认配置，它极...
Springboot+SpringSecurity+JWT实现用户登录和权限认证示例
08-19
7. **Spring Security配置**：配置Spring Security以启用JWT认证，设置访问控制规则，例如哪些URL需要认证，哪些URL对所有用户开放。 8. **认证Controller**：创建一个专门处理用户登录请求的Controller，接收登录...
SpringBoot+SpringSecurity整合（实现了登录认证和权限验证）完整案例，基于IDEA项目
02-16
SpringBoot+SpringSecurity整合示例代码，实现了从数据库中获取信息进行登录认证和权限认证。 本项目为idea工程，请用idea2019导入（老版应该也可以）。 本项目用户信息所需sql文件，在工程的resources文件夹下，...
SpringBoot+Spring Security+JWT实现RESTful Api权限控制的方法
08-26
在本文中，我们将探讨如何使用Spring Boot、Spring Security和JSON Web Tokens (JWT)来实现RESTful API的权限控制。Spring Boot简化了构建基于Spring的应用程序流程，而Spring Security则提供了强大的安全框架，JWT...
Springboot+Security+Jwt
热门推荐
点点的博客
12-13 1万+
工程目录 文章目录 工程目录 前言 一、Security是什么？ 二、使用步骤 1.引入pom.xml文件 2.application.yml文件 。。。。。。 总结:代码足够详细，有耐心的可以看，没耐心的浪费时间！ 前言 随着业务的发展，传统的不分离前后端的Java项目逐渐减少，更多的时候是做到前后端分离，会话管理也就从传统的Session会话管理变为Jwt管理会话，本篇文章就是SpringBoot使用Jwt管理会话同时整合Security，完成权限操作。
Springboot+Spring-Security+JWT 实现用户登录和权限认证
yuwinter的博客
10-10 4107
Spring Boot 项目初始化：利用 Spring Initializr 创建项目，并添加必要依赖（Spring Web、Spring Security、JWT、JPA 等）。 用户登录和注册接口：实现 AuthController，处理用户登录请求，并返回 JWT。 Spring Security 配置：通过扩展 WebSecurityConfigurerAdapter 来配置 Spring Security，设置无状态的会话管理、JWT 过滤器、受保护的资源路径等。 JWT 生成和解析：实现。
SpringBoot + SpringSecurity + JWT
飘然生的博客
01-24 1247
一、pom依赖 1.POM依赖 <!--security--> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> <version>2.2.4.RELEASE&l
SpringBoot2.7.X整合SpringSecurity+JWT（入门级简单易懂）
zyyxiaoxiao的博客
04-12 6427
SpringBoot2.7.9整合SpringSecurity+JWT、入门级简单易懂
Spring Boot整合Spring Security JWT
测试
04-11 329
Security权限管理基于security权限管理的简单实现，使用jwt的方式。 新建spring boot工程 引入相关依赖 12345678910111213141516171819202122232425262728293031323334353637383940414243444546474849505152535455...
springboot+springsecurity+jwt
03-27 495
1 新建类SecurityConfiguration import com.jwtmybatis.demo.demo.system.dao.SystemUserDao; import com.jwtmybatis.demo.demo.system.entity.SystemUser; import com.jwtmybatis.demo.demo.system.pojo.SecurityUse...
springboot+security+jwt
yuzheh521的博客
02-04 554
1.创建项目 2.项目创建成功以后，如何查看security已经在项目中生效呢？ 启动项目，并在打开浏览器，输入：http://localhost:8080/login 就会出现security默认的登陆页面 用户名是user，密码在我们的控制台已经输出 ...
Spring boot Security Jwt
何xiao树
05-31 1636
Spring Security 整合开发 引入 security 启动器，默认拦截所有资源，启动项目会生成一个默认密码，账号 user <!-- 引入Spring Security --> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-.
Spring Boot 整合 Spring Security + JWT（实现无状态登录）
程序员35
04-02 3357
学习在 Spring Boot 中整合 Spring Security 和 JWT ，实现无状态登录，可做为前后端分离时的解决方案，技术上没问题，但实际上还是推荐使用 OAuth2 中的 password 模式。 1 登录概述 1.1 有状态登录 有状态服务，即服务端需要记录每次会话的客户端信息，从而识别客户端身份，根据用户身份进行请求的处理，如 Tomcat 中的 Session 。例如：用户...
评论 27
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值