SpringBoot实现基于token的登录验证

ゞ浴缸里的玫瑰 2022-10-06 05:44 209阅读 0赞

# 一.SpringBoot实现基于token的登录验证 #

基于token的登录验证实现原理：客户端通过用户名和密码调用登录接口，当验证数据库中存在该用户后，将用户的信息按照token的生成规则，生成一个字符串token,返回给客户端，客户端在调用其他接口的时候，需要在请求头上带上token，来验证登录信息。

## 二.Demo实现代码如下： ##

(因为除登录接口外，其他接口每次都需要验证token信息，所以将验证token信息的部分放在了过滤器里面）

**1.导入JWT(JSON WEB TOKEN）依赖**

<dependency>
        <groupId>io.jsonwebtoken</groupId>
        <artifactId>jjwt</artifactId>
        <version>0.6.0</version>
    </dependency>

2.Jwt工具类，包括token的生成和验证(加密秘钥先自己随便写了一个)

@Component
    public class JwtUitls { 
        
        @Autowired
        private UserService userService;
        /** * 过期时间5分钟 */
         private static final long EXPIRE_TIME=5*60*1000;
        /** * 加密密钥 */
        private static final String KEY = "liuhongfei";
    
        /** * 生成token * @param id 用户id * @param userName 用户名 * @return */
        public String createToken(String id,String userName){ 
            Map<String,Object>  header = new HashMap();
            header.put("typ","JWT");
            header.put("alg","HS256");
            //setID:用户ID
            //setExpiration:token过期时间 当前时间+有效时间
            //setSubject:用户名
            //setIssuedAt:token创建时间
            //signWith:加密方式
            JwtBuilder builder = Jwts.builder().setHeader(header)
                               .setId(id)
                               .setExpiration(new Date(System.currentTimeMillis()+EXPIRE_TIME))
                               .setSubject(userName)
                               .setIssuedAt(new Date())
                               .signWith(SignatureAlgorithm.HS256,KEY);
            return builder.compact();
        }
    
        /** * 验证token是否有效 * @param token 请求头中携带的token * @return token验证结果 2-token过期；1-token认证通过；0-token认证失败 */
        public int verify(String token){ 
            Claims claims = null;
            try { 
                //token过期后，会抛出ExpiredJwtException 异常，通过这个来判定token过期，
                claims = Jwts.parser().setSigningKey(KEY).parseClaimsJws(token).getBody();
            }catch (ExpiredJwtException e){ 
              return 2;
            }
            //从token中获取用户id，查询该Id的用户是否存在，存在则token验证通过
            String id = claims.getId();
            User user = userService.selectUserById(id);
            if(user != null){ 
                return 1;
            }else{ 
                return 0;
            }
        }
    }

**3.过滤器，实现filter接口**

@Override
    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException { 
        Map<String,String> map = new HashMap<>();
       String url =  ((HttpServletRequest)servletRequest).getRequestURI();
       if(url != null){ 
           //登录请求直接放行
           if("/login".equals(url)){ 
               filterChain.doFilter(servletRequest,servletResponse);
               return;
           }else{ 
               //其他请求验证token
              String token = ((HttpServletRequest)servletRequest).getHeader("token");
              if(StringUtils.isNotBlank(token)){ 
                  //token验证结果
                 int verify  = jwtUitls.verify(token);
                 if(verify != 1){ 
                     //验证失败
                     if(verify == 2){ 
                         map.put("errorMsg","token已过期");
                     }else if(verify == 0){ 
                         map.put("errorMsg","用户信息验证失败");
                     }
                 }else if(verify  == 1){ 
                     //验证成功，放行
                     filterChain.doFilter(servletRequest,servletResponse);
                     return;
                 }
              }else{ 
                  //token为空的返回
                  map.put("errorMsg","未携带token信息");
              }
           }
           JSONObject jsonObject = new JSONObject(map);
           servletResponse.setContentType("application/json");
           //设置响应的编码
           servletResponse.setCharacterEncoding("utf-8");
           //响应
           PrintWriter pw=servletResponse.getWriter();
           pw.write(jsonObject.toString());
           pw.flush();
           pw.close();
       }
    }

**4.使用postman测试结果如下**  
(1)调用login接口，返回token  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MjQwODQ0Nw_size_16_color_FFFFFF_t_70]  
(2)调用查询用户接口，在请求头中加入token  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MjQwODQ0Nw_size_16_color_FFFFFF_t_70 1]  
(3)不携带token，调用查询接口  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MjQwODQ0Nw_size_16_color_FFFFFF_t_70 2]  
(4)token过期后，调用查询接口  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MjQwODQ0Nw_size_16_color_FFFFFF_t_70 3]

> 以上就是一个简单的token登录机制  
> token登录机制的好处：不需要将登录信息保存在数据库或session中  
> token中还可以携带更多的用户信息，包括权限等

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MjQwODQ0Nw_size_16_color_FFFFFF_t_70]: /images/20221005/e0624701a6f845f6873214aa78701339.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MjQwODQ0Nw_size_16_color_FFFFFF_t_70 1]: /images/20221005/9574758d97fb4304a5a1184421787f3e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MjQwODQ0Nw_size_16_color_FFFFFF_t_70 2]: /images/20221005/95ffa44cd1e34e5b9b791c7566f7006e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MjQwODQ0Nw_size_16_color_FFFFFF_t_70 3]: /images/20221005/666b3fb6a6c84da484cfa3f62fee11b0.png