若依前后端分离版学习笔记（六）——JWT

在上一节已经提到了传统Session认证和JWT认证内容，这一节对JWT进行更加详细的了解。

一 JWT介绍

1、传统的session认证

1.1 传统session认证流程

1.用户向服务器发送用户名和密码
2.服务器通过验证后，在当前对话（session）中保存相关数据，如用户角色，登录时间等
3.服务器向用户返回一个session_id，写入用户的Cookie
4.用户随后的每一次请求，都会通过Cookie，将session_id传回服务器
5.服务器收到session_id，找到前期保存的数据，由此得知用户的身份

1.2 传统session认证缺陷

  • 服务器端存储开销：Session需要在服务器端存储用户状态信息，占用服务器内存资源，而JWT是无状态的，不需要服务器存储会话信息。
  • 扩展性问题：在分布式或集群环境中，Session需要在多个服务器间共享，增加了系统复杂性和网络开销，而JWT可以轻松跨服务使用。
  • CORS支持：Session认证在跨域场景下处理复杂，需要额外配置，而JWT天然支持跨域请求（JWT是无状态的，不需要存储会话状态，任务服务器都可以验证和解析jWT且JWT通过HTTP头部传递，而不是依赖Cookie但还是需要处理CORS，不过是更加简单直接）。
  • 移动端支持：Session在移动应用中支持不好，而JWT更适合移动设备和API认证。
  • 性能：JWT避免了服务器端的Session查询操作，减少了数据库或缓存的访问次数。

2、JWT认证

2.1 JWT认证流程

1.用户带着用户名，密码请求服务器
2.服务器对用户信息进行验证
3.通过验证后服务器给用户返回一个token
4.客户端存储token，并在每次请求时附送上这个token值
5.服务端验证token值并返回数据

2.2 JWT的构成

Header（头部）

  • 包含令牌类型（typ: “JWT”）和签名算法（如 alg: HS256）
  • 这部分JSON数据会被Base64编码

Payload（载荷）

  • 包含声明（claims），即实际要传递的数据
  • 包括用户信息、过期时间等标准字段或自定义字段
  • 同样经过Base64编码，但未加密，因此不应存放敏感信息

Signature（签名）

  • 用于验证令牌的完整性和真实性
  • 通过签名算法及密钥secret对Header和Payload的组合进行签名
  • 确保Token在传输过程中未被篡改

这三部分通过Base64编码后用点（.）连接，形成最终的JWT令牌格式：

Base64(Header).Base64(Payload).Base64(Signature)
secret保存在服务器端，jwt的签发也是在服务器端生成的，secret就是用来进行jwt的签发和jwt的验证。（所以secret就是服务端的私钥，不能泄露出去）

二 JWT实现

我们先来看ruoyi-framework模块com.ruoyi.framework.web.service下的TokenService

package com.ruoyi.framework.web.service;import java.util.HashMap;
import java.util.Map;
import java.util.concurrent.TimeUnit;
import javax.servlet.http.HttpServletRequest;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.stereotype.Component;
import com.ruoyi.common.constant.CacheConstants;
import com.ruoyi.common.constant.Constants;
import com.ruoyi.common.core.domain.model.LoginUser;
import com.ruoyi.common.core.redis.RedisCache;
import com.ruoyi.common.utils.ServletUtils;
import com.ruoyi.common.utils.StringUtils;
import com.ruoyi.common.utils.ip.AddressUtils;
import com.ruoyi.common.utils.ip.IpUtils;
import com.ruoyi.common.utils.uuid.IdUtils;
import eu.bitwalker.useragentutils.UserAgent;
import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;/*** token验证处理* * @author ruoyi*/
@Component
public class TokenService
{private static final Logger log = LoggerFactory.getLogger(TokenService.class);// 令牌自定义标识@Value("${token.header}")private String header;// 令牌秘钥@Value("${token.secret}")private String secret;// 令牌有效期（默认30分钟）@Value("${token.expireTime}")private int expireTime;// 定义1秒protected static final long MILLIS_SECOND = 1000;// 定义1分钟protected static final long MILLIS_MINUTE = 60 * MILLIS_SECOND;// 定义20分钟private static final Long MILLIS_MINUTE_TWENTY = 20 * 60 * 1000L;@Autowiredprivate RedisCache redisCache;/*** 获取用户身份信息* * @return 用户信息*/public LoginUser getLoginUser(HttpServletRequest request){// 获取请求携带的令牌String token = getToken(request);if (StringUtils.isNotEmpty(token)){try{Claims claims = parseToken(token);// 解析对应的权限以及用户信息String uuid = (String) claims.get(Constants.LOGIN_USER_KEY);// 拼接redis中的userKeyString userKey = getTokenKey(uuid);// 从redis中获取登录信息LoginUser user = redisCache.getCacheObject(userKey);return user;}catch (Exception e){log.error("获取用户信息异常'{}'", e.getMessage());}}return null;}/*** 设置用户身份信息*/public void setLoginUser(LoginUser loginUser){// 用户信息且其中token不为空时if (StringUtils.isNotNull(loginUser) && StringUtils.isNotEmpty(loginUser.getToken())){// 刷新token有效期refreshToken(loginUser);}}/*** 删除用户身份信息*/public void delLoginUser(String token){if (StringUtils.isNotEmpty(token)){String userKey = getTokenKey(token);// 从redis中删除该用户信息redisCache.deleteObject(userKey);}}/*** 创建令牌* * @param loginUser 用户信息* @return 令牌*/public String createToken(LoginUser loginUser){// 获取随机uuidString token = IdUtils.fastUUID();// set进用户信息的token中loginUser.setToken(token);// set用户信息setUserAgent(loginUser);// 将用户信息存到redis中refreshToken(loginUser);// 构造claims 生成JWT TokenMap<String, Object> claims = new HashMap<>();claims.put(Constants.LOGIN_USER_KEY, token);claims.put(Constants.JWT_USERNAME, loginUser.getUsername());return createToken(claims);}/*** 验证令牌有效期，相差不足20分钟，自动刷新缓存* * @param loginUser 登录信息* @return 令牌*/public void verifyToken(LoginUser loginUser){// 获取用户信息中的过期时间long expireTime = loginUser.getExpireTime();long currentTime = System.currentTimeMillis();if (expireTime - currentTime <= MILLIS_MINUTE_TWENTY){refreshToken(loginUser);}}/*** 刷新令牌有效期* * @param loginUser 登录信息*/public void refreshToken(LoginUser loginUser){loginUser.setLoginTime(System.currentTimeMillis());loginUser.setExpireTime(loginUser.getLoginTime() + expireTime * MILLIS_MINUTE);// 根据uuid将loginUser缓存String userKey = getTokenKey(loginUser.getToken());// set进redisredisCache.setCacheObject(userKey, loginUser, expireTime, TimeUnit.MINUTES);}/*** 设置用户代理信息* * @param loginUser 登录信息*/public void setUserAgent(LoginUser loginUser){// 解析请求头中的User-Agent信息UserAgent userAgent = UserAgent.parseUserAgentString(ServletUtils.getRequest().getHeader("User-Agent"));// 获取用户登录ip地址String ip = IpUtils.getIpAddr();// 将ip地址，登录地点，登录浏览器，操作系统信息set进loginUserloginUser.setIpaddr(ip);loginUser.setLoginLocation(AddressUtils.getRealAddressByIP(ip));loginUser.setBrowser(userAgent.getBrowser().getName());loginUser.setOs(userAgent.getOperatingSystem().getName());}/*** 从数据声明生成令牌** @param claims 数据声明* @return 令牌*/private String createToken(Map<String, Object> claims){String token = Jwts.builder().setClaims(claims)// 使用HS512签名，密钥生成JWT Token.signWith(SignatureAlgorithm.HS512, secret).compact();return token;}/*** 从令牌中获取数据声明** @param token 令牌* @return 数据声明*/private Claims parseToken(String token){return Jwts.parser().setSigningKey(secret).parseClaimsJws(token).getBody();}/*** 从令牌中获取用户名** @param token 令牌* @return 用户名*/public String getUsernameFromToken(String token){Claims claims = parseToken(token);return claims.getSubject();}/*** 获取请求token** @param request* @return token*/private String getToken(HttpServletRequest request){// 从请求头中获取tokenString token = request.getHeader(header);if (StringUtils.isNotEmpty(token) && token.startsWith(Constants.TOKEN_PREFIX)){token = token.replace(Constants.TOKEN_PREFIX, "");}return token;}private String getTokenKey(String uuid){// 生成tokenKey return CacheConstants.LOGIN_TOKEN_KEY + uuid;}
}

其中parseToken方法是从前端穿来的JWT Token中解析出用户登录时的uuid以及用户名，如：

请求携带的token为：eyJhbGciOiJIUzUxMiJ9.eyJzdWIiOiJhZG1pbiIsImxvZ2luX3VzZXJfa2V5IjoiOTE4ODY2YzEtNzU2YS00OWFiLWJmYzUtNWIwYWQ5ODBmMjc3In0.O27MTE-bZwQJ8Sp3IRmyvj3zFgI1SXFcflaw4H82efQnLeGx4Y67aPL5rNGGAcEAvOhQk7dIfllfVcrXq2JO-g

解析出的Claims为：
{sub=admin, login_user_key=918866c1-756a-49ab-bfc5-5b0ad980f277}

我们再从登录流程中查看JWT的实现，首先是ruoyi-admin模块com.ruoyi.web.controller.system下的登录接口的登录方法

/*** 登录方法* * @param loginBody 登录信息* @return 结果*/
@PostMapping("/login")
public AjaxResult login(@RequestBody LoginBody loginBody)
{AjaxResult ajax = AjaxResult.success();// 生成令牌String token = loginService.login(loginBody.getUsername(), loginBody.getPassword(), loginBody.getCode(),loginBody.getUuid());ajax.put(Constants.TOKEN, token);return ajax;
}

接口中的登录方法调用了SysLoginService的login方法生成token并放到ajax中返回给前端

/*** 登录验证* * @param username 用户名* @param password 密码* @param code 验证码* @param uuid 唯一标识* @return 结果*/
public String login(String username, String password, String code, String uuid)
{// 验证码校验validateCaptcha(username, code, uuid);// 登录前置校验loginPreCheck(username, password);// 用户验证Authentication authentication = null;try{UsernamePasswordAuthenticationToken authenticationToken = new UsernamePasswordAuthenticationToken(username, password);AuthenticationContextHolder.setContext(authenticationToken);// 该方法会去调用UserDetailsServiceImpl.loadUserByUsernameauthentication = authenticationManager.authenticate(authenticationToken);}catch (Exception e){if (e instanceof BadCredentialsException){AsyncManager.me().execute(AsyncFactory.recordLogininfor(username, Constants.LOGIN_FAIL, MessageUtils.message("user.password.not.match")));throw new UserPasswordNotMatchException();}else{AsyncManager.me().execute(AsyncFactory.recordLogininfor(username, Constants.LOGIN_FAIL, e.getMessage()));throw new ServiceException(e.getMessage());}}finally{AuthenticationContextHolder.clearContext();}AsyncManager.me().execute(AsyncFactory.recordLogininfor(username, Constants.LOGIN_SUCCESS, MessageUtils.message("user.login.success")));LoginUser loginUser = (LoginUser) authentication.getPrincipal();recordLoginInfo(loginUser.getUserId());// 生成tokenreturn tokenService.createToken(loginUser);
}

在最后调用了TokenService的createToken方法返回了生成的JWT token。

浏览器中的token

在这里插入图片描述在这里插入图片描述

redis中登录信息的key value

在这里插入图片描述

三 JWT过滤器

在spring security配置 SecurityConfig类里面我们在httpSecurity中新增了自定义的JWT过滤器并在UsernamePasswordAuthenticationFilter之前执行。

/*** token认证过滤器*/
@Autowired
private JwtAuthenticationTokenFilter authenticationTokenFilter;@Bean
protected SecurityFilterChain filterChain(HttpSecurity httpSecurity) throws Exception
{return httpSecurity......// 添加JWT filter.addFilterBefore(authenticationTokenFilter, UsernamePasswordAuthenticationFilter.class).......build();
}

我们来看一下这个自定义的JWT过滤器

package com.ruoyi.framework.security.filter;import java.io.IOException;
import javax.servlet.FilterChain;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.security.web.authentication.WebAuthenticationDetailsSource;
import org.springframework.stereotype.Component;
import org.springframework.web.filter.OncePerRequestFilter;
import com.ruoyi.common.core.domain.model.LoginUser;
import com.ruoyi.common.utils.SecurityUtils;
import com.ruoyi.common.utils.StringUtils;
import com.ruoyi.framework.web.service.TokenService;/*** token过滤器 验证token有效性* * @author ruoyi*/
@Component
public class JwtAuthenticationTokenFilter extends OncePerRequestFilter
{@Autowiredprivate TokenService tokenService;@Overrideprotected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain)throws ServletException, IOException{// 从请求中获取用户信息LoginUser loginUser = tokenService.getLoginUser(request);// 如果用户信息不为null且上下文中Authentication认证为nullif (StringUtils.isNotNull(loginUser) && StringUtils.isNull(SecurityUtils.getAuthentication())){// 验证token 并刷过期时间tokenService.verifyToken(loginUser);// 创建UsernamePasswordAuthenticationToken对象，设置用户信息和权限UsernamePasswordAuthenticationToken authenticationToken = new UsernamePasswordAuthenticationToken(loginUser, null, loginUser.getAuthorities());authenticationToken.setDetails(new WebAuthenticationDetailsSource().buildDetails(request));// 将请求，用户，权限等信息set进 SecurityContextHolder上下文SecurityContextHolder.getContext().setAuthentication(authenticationToken);}// 继续执行过滤器链，处理后续请求chain.doFilter(request, response);}
}

其中JwtAuthenticationTokenFilter继承了OncePerRequestFilter，OncePerRequestFilter会确保一次请求只会通过一次。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如若转载，请注明出处：http://www.pswp.cn/pingmian/92249.shtml
繁体地址，请注明出处：http://hk.pswp.cn/pingmian/92249.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

如何永久删除三星手机中的照片？

如何永久删除三星手机中的照片？

如果你计划出售你的三星 Galaxy 手机&#xff0c;或者整理其接近满容量的存储空间&#xff0c;你可能会担心如何从设备中移除照片和其他文件。这对于确保你的个人信息保持安全至关重要&#xff0c;即使你选择通过各种平台捐赠或出售旧手机也是如此。在本文中&#xff0c;我们介…
阅读更多...
【数字图像处理系列笔记】Ch06:图像压缩

【数字图像处理系列笔记】Ch06:图像压缩

一、基础知识信源编码器&#xff1a;减少或消除输入图像中的编码冗余、像素 间冗余以及心理视觉冗余。 数据的冗余 一、空间冗余&#xff08;Spatial Redundancy&#xff09;1. 定义图像中相邻像素间的强相关性导致的冗余 —— 同一区域内相邻像素的像素值&#xff08;如灰度、…
阅读更多...
windows线程基础

windows线程基础

Windows线程机制详解 线程的基本概念 在Windows操作系统中&#xff0c;线程是程序执行的最小单位。每个进程至少包含一个线程&#xff08;主线程&#xff09;&#xff0c;但可以创建多个线程来并行执行任务。线程与进程的主要区别在于&#xff1a; 资源分配&#xff1a;进程拥有…
阅读更多...
Numpy科学计算与数据分析：Numpy随机数生成入门

Numpy科学计算与数据分析：Numpy随机数生成入门

Numpy随机数生成实战 学习目标 通过本课程&#xff0c;学员将掌握如何使用Numpy库生成不同类型的随机数&#xff0c;包括随机整数、随机浮点数以及从特定分布中抽样的方法。本课程将通过理论讲解与实践操作相结合的方式&#xff0c;帮助学员深入理解Numpy在随机数生成方面的强…
阅读更多...
使用 C# 通过 .NET 框架开发应用程序的安装与环境配置

使用 C# 通过 .NET 框架开发应用程序的安装与环境配置

文章目录1. .NET介绍2. IDE2.1 Rider 安装2.2 Visual Studio 安装3. SDK安装与环境配置3.1 单独下载安装 .NET SDK3.2 Visual Studio 工作负荷安装SDK4. 相关问题4.1 我以前使用 Unity 写 C# 脚本不需要额外的编译器&#xff0c;为什么现在需要&#xff1f;1. .NET介绍 .NET 是…
阅读更多...
Scikit-learn - 机器学习库初步了解

Scikit-learn - 机器学习库初步了解

目录1. 主要算法分类1.1 监督学习 (Supervised Learning)1.2 非监督学习 (Unsupervised Learning)1.3 半监督学习 (Semi-Supervised Learning)1.4 强化学习 (Reinforcement Learning)1.5 遗传算法 (Genetic Algorithm)2. 选择合适的机器学习模型2.1 分类 (Classification)2.2 回…
阅读更多...
关于 idea 里 properties 文件的中文乱码问题

关于 idea 里 properties 文件的中文乱码问题

背景 你会发现 properties 文件里的中文可能会出现乱码。 这个因为 properties 规范是使用 iso-8859-1 存储的&#xff0c;不支持中文&#xff08;也不支持西欧里法语、德语里奇怪的字母&#xff09; properties 的标准制定于很早&#xff0c;所以没考虑这么多&#xff0c;prop…
阅读更多...
BVH文件 解析 解读的python第三方类库 推荐

BVH文件 解析 解读的python第三方类库 推荐

我们面临多个第三方库选项用于解析BVH文件&#xff0c;根据您的列表&#xff0c;我将分析几个关键库的特点&#xff0c;并推荐最适合当前任务的库。我们将基于以下标准进行选择&#xff1a; ​​功能性​​&#xff1a;是否能准确解析关节角度数据&#xff0c;支持关键帧操作 ​…
阅读更多...
uni-app X能成为下一个Flutter吗？

uni-app X能成为下一个Flutter吗？

哈喽&#xff0c;我是老刘 老刘使用Flutter作为客户端主要技术栈的这六七年的时间里&#xff0c;关于跨平台开发的争议和新技术始终没有停过。 “一套代码&#xff0c;多端运行”——这个让无数开发者心动的承诺&#xff0c;究竟是技术革命还是美丽的谎言&#xff1f; 想象一…
阅读更多...
Spring Cloud Gateway全栈实践：动态路由能力与WebFlux深度整合

Spring Cloud Gateway全栈实践：动态路由能力与WebFlux深度整合

一、为什么需要下一代网关&#xff1f; 传统网关的三大瓶颈&#xff1a; #mermaid-svg-Kdei9Io6KntYGQc4 {font-family:"trebuchet ms",verdana,arial,sans-serif;font-size:16px;fill:#333;}#mermaid-svg-Kdei9Io6KntYGQc4 .error-icon{fill:#552222;}#mermaid-svg-…
阅读更多...
MongoDB数据存储界的瑞士军刀：cpolar内网穿透实验室第513号挑战

MongoDB数据存储界的瑞士军刀：cpolar内网穿透实验室第513号挑战

软件名称&#xff1a;MongoDB 操作系统支持&#xff1a;Linux、Windows、macOS&#xff08;Docker版全平台通用&#xff01;&#xff09; 软件介绍&#xff1a; MongoDB是一个基于分布式架构的NoSQL数据库&#xff0c;擅长处理复杂数据类型&#xff08;如嵌套对象、数组&…
阅读更多...
SPI TFT全彩屏幕驱动开发及调试

SPI TFT全彩屏幕驱动开发及调试

简介SPI&#xff08;Serial Peripheral Interface&#xff09;是一种广泛使用的串行通信协议&#xff0c;常用于微控制器&#xff08;MCU&#xff09;与外围设备&#xff08;如传感器、显示屏、存储器等&#xff09;之间的通信。SPI具有全双工传输、主从结构和较高的传输速率&a…
阅读更多...
Linux学习—数据结构（链表2）

Linux学习—数据结构（链表2）

1.单向链表6.链表的查找在链表中找到指定的第一个元素沿用遍历思想&#xff0c;每次访问一个节点元素判断是否为要找的节点符合条件返回该节点地址到最后没有找到符号条件的节NULLlinknode *find_linklist(linknode *phead, datatype tmpdata) {linknode *ptmpnode NULL;ptmpn…
阅读更多...
MySQL 备份利器 Xtrabackup 全解析：从部署到恢复的实战指南

MySQL 备份利器 Xtrabackup 全解析：从部署到恢复的实战指南

数据库备份恢复是 DBA 的 “保命” 技能&#xff0c;生产业务不仅要保证有合适的备份策略&#xff0c;也要定期验证备份的有效性和恢复演练流程&#xff0c;因为数据恢复和验证可能会涉及多方合作&#xff0c;演练可以让灾难真正发生时&#xff0c;多方配合有条不紊的将数据恢复…
阅读更多...
EAGLE-2：通过动态草稿树加速语言模型推理

EAGLE-2：通过动态草稿树加速语言模型推理

温馨提示&#xff1a; 本篇文章已同步至"AI专题精讲" EAGLE-2&#xff1a;通过动态草稿树加速语言模型推理 摘要 现代 Large Language Models&#xff08;LLMs&#xff09;的推理过程既昂贵又耗时&#xff0c;而 speculative sampling 已被证明是一种有效的解决方案…
阅读更多...
防水防尘防摔性能很好的智能三防手机，还有22000mAh大电池

防水防尘防摔性能很好的智能三防手机，还有22000mAh大电池

在电力巡检的崇山峻岭间&#xff0c;在野外地质勘探的风沙深处&#xff0c;在应急救援的急风骤雨里&#xff0c;传统智能设备因其固有的脆弱性与续航短板往往力不从心&#xff0c;甚至成为保障工作连续性的掣肘。而真正的智能三防手机应是一堵移动的堡垒&#xff0c;集坚不可摧…
阅读更多...
Charles中文版抓包工具使用指南 提高API调试和网络优化效率

Charles中文版抓包工具使用指南 提高API调试和网络优化效率

在现代开发过程中&#xff0c;调试API、捕获HTTP/HTTPS流量和优化应用的网络性能已经成为开发者的常见任务。尤其是在调试复杂的API接口和分析网络请求时&#xff0c;开发者需要一款高效且功能强大的工具。Charles抓包工具凭借其强大的网络调试功能和易用的操作界面&#xff0c…
阅读更多...
【C#补全计划：类和对象（九）】接口

【C#补全计划：类和对象（九）】接口

一、接口的概念1. 概念&#xff1a;接口是行为的抽象规范&#xff0c;也是一种自定义类型2. 接口声明规范&#xff1a;&#xff08;1&#xff09;不包含成员变量&#xff08;2&#xff09;只包含属性、方法、索引器、事件&#xff08;3&#xff09;成员不能被实现&#xff08;4…
阅读更多...
SRS简介及简单demo

SRS简介及简单demo

SRS介绍 SRS（Simple Realtimes Server）是一款开源的实时流媒体服务器，专注于解决直播、实时互动等场景的流媒体传输问题。SRS 的设计目标是 “简单、稳定、高效”，专门针对实时流媒体协议（如 RTMP、HLS、HTTP-FLV、WebRTC 等）进行优化，专注于解决 “低延迟、高并发” 的…
阅读更多...
python基础：数据解析BeatuifulSoup，不需要考虑前端形式的一种获取元素的方法

python基础：数据解析BeatuifulSoup，不需要考虑前端形式的一种获取元素的方法

1.beatuifulSoup 基本用法 beautifulSoup&#xff08;简称bs4&#xff09;是python的一个第三方库&#xff0c;用于解析html和xml文档中提取数据的python库。它能够将复杂的文档转化为树形结构&#xff0c;方便快速定位和提取所需数据以及查找和修改&#xff0c;常常与爬虫框架…
阅读更多...
最新文章

Copyright @ 2022~2023