使用Spring Boot和Spring Security结合JWT实现安全的RESTful API

引言

在现代Web应用中，安全性是至关重要的。Spring Boot和Spring Security提供了强大的工具来保护我们的应用程序，而JWT（JSON Web Token）则是一种轻量级的认证和授权机制。本文将详细介绍如何结合这三者来实现一个安全的RESTful API。

技术栈

核心框架: Spring Boot, Spring Security
认证机制: JWT
数据库: 可选（本文使用H2内存数据库）
构建工具: Maven

实现步骤

1. 创建Spring Boot项目

首先，使用Spring Initializr创建一个新的Spring Boot项目，添加以下依赖：

Spring Web
Spring Security
H2 Database（可选）
JWT库（如jjwt）

2. 配置Spring Security

在application.properties或application.yml中配置Spring Security的基本设置，例如：

spring:security:user:name: adminpassword: password

3. 实现JWT认证

生成JWT Token

创建一个服务类来生成和验证JWT Token。以下是一个简单的实现：

@Service
public class JwtTokenProvider {private String jwtSecret = "your-secret-key";private long jwtExpirationInMs = 3600000; // 1 hourpublic String generateToken(Authentication authentication) {UserPrincipal userPrincipal = (UserPrincipal) authentication.getPrincipal();Date now = new Date();Date expiryDate = new Date(now.getTime() + jwtExpirationInMs);return Jwts.builder().setSubject(Long.toString(userPrincipal.getId())).setIssuedAt(new Date()).setExpiration(expiryDate).signWith(SignatureAlgorithm.HS512, jwtSecret).compact();}public Long getUserIdFromJWT(String token) {Claims claims = Jwts.parser().setSigningKey(jwtSecret).parseClaimsJws(token).getBody();return Long.parseLong(claims.getSubject());}public boolean validateToken(String authToken) {try {Jwts.parser().setSigningKey(jwtSecret).parseClaimsJws(authToken);return true;} catch (Exception ex) {// Handle exceptions}return false;}
}

配置JWT过滤器

创建一个过滤器来拦截请求并验证JWT Token：

public class JwtAuthenticationFilter extends OncePerRequestFilter {@Overrideprotected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {try {String jwt = getJwtFromRequest(request);if (StringUtils.hasText(jwt) && tokenProvider.validateToken(jwt)) {Long userId = tokenProvider.getUserIdFromJWT(jwt);// Load user details and set authentication}} catch (Exception ex) {// Handle exceptions}filterChain.doFilter(request, response);}private String getJwtFromRequest(HttpServletRequest request) {String bearerToken = request.getHeader("Authorization");if (StringUtils.hasText(bearerToken) && bearerToken.startsWith("Bearer ")) {return bearerToken.substring(7);}return null;}
}

4. 保护API端点

使用@PreAuthorize注解来保护API端点：

@RestController
@RequestMapping("/api")
public class ApiController {@GetMapping("/public")public String publicEndpoint() {return "This is a public endpoint.";}@GetMapping("/private")@PreAuthorize("hasRole('USER')")public String privateEndpoint() {return "This is a private endpoint.";}
}