Spring Boot整合JWT实现认证与授权

概述

JSON Web Token (JWT) 是一种开放标准 (RFC 7519)，它定义了一种紧凑且自包含的方式，用于在各方之间安全地传输信息。在Web应用中，JWT常用于身份验证和信息交换。

依赖配置

首先需要在项目中添加JWT依赖：

<!-- JWT依赖 -->
<dependency><groupId>io.jsonwebtoken</groupId><artifactId>jjwt</artifactId><version>0.9.1</version>
</dependency>

JWT工具类封装

我们创建一个JwtUtil工具类来封装JWT的生成、解析和验证逻辑：

package com.bookstore.utils;import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import org.springframework.stereotype.Component;import java.util.Date;
import java.util.HashMap;
import java.util.Map;@Component
public class JwtUtil {private static final String SECRET_KEY = "bookstore_secret_key";private static final long EXPIRATION_TIME = 24 * 60 * 60 * 1000; // 24小时// 生成JWT令牌public String generateToken(Integer userId, String role) {Map<String, Object> claims = new HashMap<>();claims.put("userId", userId);claims.put("role", role);return Jwts.builder().setClaims(claims).setIssuedAt(new Date()).setExpiration(new Date(System.currentTimeMillis() + EXPIRATION_TIME)).signWith(SignatureAlgorithm.HS256, SECRET_KEY).compact();}// 解析JWT令牌public Claims parseToken(String token) {return Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token).getBody();}// 验证JWT令牌public boolean validateToken(String token) {try {Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token);return true;} catch (Exception e) {return false;}}
}

JWT拦截器实现

创建拦截器来验证请求中的JWT令牌：

package com.bookstore.config;import com.bookstore.utils.JwtUtil;
import io.jsonwebtoken.Claims;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Component;
import org.springframework.web.servlet.HandlerInterceptor;import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;@Component
public class JwtInterceptor implements HandlerInterceptor {@Autowiredprivate JwtUtil jwtUtil;@Overridepublic boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) {// 放行OPTIONS请求if ("OPTIONS".equals(request.getMethod())) {return true;}// 从请求头获取tokenString token = request.getHeader("Authorization");if (token != null && token.startsWith("Bearer ")) {token = token.substring(7);if (jwtUtil.validateToken(token)) {Claims claims = jwtUtil.parseToken(token);// 将用户信息存入request属性中request.setAttribute("userId", claims.get("userId"));request.setAttribute("role", claims.get("role"));return true;}}response.setStatus(401);return false;}
}

MVC配置

配置拦截器并设置拦截路径：

package com.bookstore.config;import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;@Configuration
public class WebConfig implements WebMvcConfigurer {@Autowiredprivate JwtInterceptor jwtInterceptor;@Overridepublic void addInterceptors(InterceptorRegistry registry) {registry.addInterceptor(jwtInterceptor).addPathPatterns("/**")  // 拦截所有路径.excludePathPatterns(    // 排除路径"/login","/register","/swagger-resources/**","/webjars/**","/v3/api-docs/**","/swagger-ui.html/**","/error","/favicon.ico","doc.html","/logout","/static/**","/carousel/list","/book/new","/v2/api-docs");}
}

使用示例

登录时生成令牌

在登录成功后生成JWT令牌并返回给客户端：

String token = jwtUtil.generateToken(foundUser.getId(), foundUser.getRole());

基础控制器

创建基础控制器方便获取已认证的用户信息：

import javax.servlet.http.HttpServletRequest;
import org.springframework.beans.factory.annotation.Autowired;public class BaseController {@Autowiredprotected HttpServletRequest request;// 获取当前用户IDprotected Integer getCurrentUserId() {return (Integer) request.getAttribute("userId");}// 获取当前用户角色protected String getCurrentUserRole() {return (String) request.getAttribute("role");}// 检查是否是管理员protected boolean isAdmin() {return "admin".equals(getCurrentUserRole());}// 检查是否是普通用户protected boolean isUser() {return "user".equals(getCurrentUserRole());}
}

其他控制器可以继承BaseController来方便地获取用户信息：

@RestController
@RequestMapping("/api/books")
public class BookController extends BaseController {@GetMapping("/{id}")public ResponseEntity<Book> getBook(@PathVariable Integer id) {if (isAdmin()) {// 管理员特有逻辑}// 其他逻辑...}
}

总结

1. JWT工具类：封装了令牌的生成、解析和验证逻辑
2. 拦截器：自动验证请求中的JWT令牌并提取用户信息
3. MVC配置：灵活配置需要拦截和放行的路径
4. 基础控制器：提供便捷的方法获取当前用户信息

这种实现方式具有以下优点：

• 无状态认证，服务端不需要存储会话信息
• 跨域支持良好
• 可以方便地携带用户信息
• 适合分布式系统

在实际项目中，可以根据需求调整令牌的有效期、密钥的存储方式（如从配置中心获取）以及更精细的权限控制逻辑。