JWT如何整合Springboot

发布时间：2021-11-29 09:14:08 作者：小新
来源：亿速云阅读：175

# JWT如何整合Springboot

## 目录
- [一、JWT核心概念解析](#一jwt核心概念解析)
  - [1.1 什么是JWT](#11-什么是jwt)
  - [1.2 JWT的组成结构](#12-jwt的组成结构)
  - [1.3 JWT的工作流程](#13-jwt的工作流程)
- [二、Springboot环境准备](#二springboot环境准备)
  - [2.1 创建Springboot项目](#21-创建springboot项目)
  - [2.2 添加必要依赖](#22-添加必要依赖)
- [三、JWT基础实现](#三jwt基础实现)
  - [3.1 生成JWT令牌](#31-生成jwt令牌)
  - [3.2 解析JWT令牌](#32-解析jwt令牌)
  - [3.3 验证JWT有效性](#33-验证jwt有效性)
- [四、Spring Security整合](#四spring-security整合)
  - [4.1 配置Spring Security](#41-配置spring-security)
  - [4.2 实现JWT过滤器](#42-实现jwt过滤器)
  - [4.3 自定义认证逻辑](#43-自定义认证逻辑)
- [五、实战应用开发](#五实战应用开发)
  - [5.1 用户登录接口](#51-用户登录接口)
  - [5.2 权限控制实现](#52-权限控制实现)
  - [5.3 令牌刷新机制](#53-令牌刷新机制)
- [六、高级配置与优化](#六高级配置与优化)
  - [6.1 多端适配方案](#61-多端适配方案)
  - [6.2 分布式场景处理](#62-分布式场景处理)
  - [6.3 性能优化建议](#63-性能优化建议)
- [七、安全防护措施](#七安全防护措施)
  - [7.1 常见攻击防范](#71-常见攻击防范)
  - [7.2 敏感信息保护](#72-敏感信息保护)
  - [7.3 日志监控方案](#73-日志监控方案)
- [八、测试与部署](#八测试与部署)
  - [8.1 单元测试编写](#81-单元测试编写)
  - [8.2 Postman测试](#82-postman测试)
  - [8.3 生产环境部署](#83-生产环境部署)
- [九、扩展与进阶](#九扩展与进阶)
  - [9.1 OAuth2整合](#91-oauth2整合)
  - [9.2 微服务架构适配](#92-微服务架构适配)
- [十、总结与展望](#十总结与展望)

---

## 一、JWT核心概念解析

### 1.1 什么是JWT

JSON Web Token（JWT）是一种开放标准（RFC 7519），用于在各方之间安全地传输信息作为JSON对象。这种信息可以被验证和信任，因为它是经过数字签名的。JWT可以使用密钥（HMAC算法）或使用RSA或ECDSA的公钥/私钥对进行签名。

**主要特点**：
- 紧凑性：JWT可以放在URL、POST参数或HTTP Header中
- 自包含：负载中包含所有必要信息
- 可验证性：通过签名确保数据完整性
- 无状态：服务端不需要存储会话信息

### 1.2 JWT的组成结构

JWT由三部分组成，通过点（.）分隔：

Header.Payload.Signature


**Header示例**：
```json
{
  "alg": "HS256",
  "typ": "JWT"
}

Payload示例：

{
  "sub": "1234567890",
  "name": "John Doe",
  "iat": 1516239022
}

Signature生成公式：

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

1.3 JWT的工作流程

客户端通过登录接口提交凭证
服务端验证凭证后生成JWT返回
客户端存储JWT（通常localStorage或cookie）
后续请求携带JWT（通常Authorization头）
服务端验证JWT有效性后处理请求

二、Springboot环境准备

2.1 创建Springboot项目

使用Spring Initializr创建项目： - 选择Java 11+ - 添加Spring Web、Spring Security依赖 - 打包方式选择Jar

2.2 添加必要依赖

在pom.xml中添加：

<!-- JWT支持 -->
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-api</artifactId>
    <version>0.11.5</version>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-impl</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-jackson</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>

<!-- 其他工具类 -->
<dependency>
    <groupId>org.projectlombok</groupId>
    <artifactId>lombok</artifactId>
    <optional>true</optional>
</dependency>

三、JWT基础实现

3.1 生成JWT令牌

创建JwtUtil工具类：

public class JwtUtil {
    private static final String SECRET_KEY = "your-256-bit-secret";
    private static final long EXPIRATION_TIME = 864_000_000; // 10天

    public static String generateToken(UserDetails userDetails) {
        return Jwts.builder()
                .setSubject(userDetails.getUsername())
                .setIssuedAt(new Date())
                .setExpiration(new Date(System.currentTimeMillis() + EXPIRATION_TIME))
                .signWith(SignatureAlgorithm.HS256, SECRET_KEY)
                .compact();
    }
}

3.2 解析JWT令牌

添加解析方法：

public static Claims extractClaims(String token) {
    return Jwts.parser()
            .setSigningKey(SECRET_KEY)
            .parseClaimsJws(token)
            .getBody();
}

3.3 验证JWT有效性

实现验证逻辑：

public static boolean validateToken(String token, UserDetails userDetails) {
    final String username = extractUsername(token);
    return (username.equals(userDetails.getUsername()) && !isTokenExpired(token));
}

private static boolean isTokenExpired(String token) {
    return extractExpiration(token).before(new Date());
}

（因篇幅限制，以下为部分内容展示，完整实现需展开各章节）

四、Spring Security整合

4.1 配置Spring Security

创建Security配置类：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
            .authorizeRequests()
            .antMatchers("/api/auth/**").permitAll()
            .anyRequest().authenticated()
            .and()
            .addFilter(new JwtAuthenticationFilter(authenticationManager()))
            .addFilter(new JwtAuthorizationFilter(authenticationManager()));
    }
}

JWT如何整合Springboot

1.3 JWT的工作流程

二、Springboot环境准备

2.1 创建Springboot项目

2.2 添加必要依赖

三、JWT基础实现

3.1 生成JWT令牌

3.2 解析JWT令牌

3.3 验证JWT有效性

四、Spring Security整合

4.1 配置Spring Security

十、总结与展望

核心收获

未来优化方向

推荐学习资源

相关阅读