Java 后端实现 token自动续期，这方案有点优雅！

在前后端分离的开发模式下前端用户登录成功后后端服务会给用户颁发一个token。前端(如vue)在接收到 token后会将token存储到LocalStorage中。后续每次请求都会将此token放在请求头中传递到后端服务后端服务会有一个过滤器对token进行拦截校验校验token的合法性以及token是否过期如果token过期则会让前端跳转到登录页面重新登录。因为token中一般会包含用户的基础信息为了保证token的安全性一般会将token的过期时间设置的比较短。但是这样又会导致前端用户需要频繁登录token过期甚至有的表单比较复杂前端用户在填写表单时需要思考较长时间等真正提交表单时后端校验发现token过期失效了不得不跳转到登录页面。重新登录填写后再提交表单用户体验非常不友好。本篇文章的内容就要是在前端用户无感知的情况下实现token的自动续期避免频繁登录、表单填写内容丢失情况的发生。当然这只是万千解决方案中的一种如果你有更好的方案欢迎留言评论。实现原理token自动续期的实现原理如下登录成功后将用户生成的token作为key、value存储到cache缓存里面 (这时候key、value值一样)将缓存有效期设置为 token有效时间的2倍。当该用户再次请求时通过后端的一个Filter校验前端token是否是有效token如果token无效表明是非法请求直接抛出异常即可根据规则从cache缓存中取出token判断cache token是否存在此时有以下几种情况cache token不存在 这种情况说明token在缓存中过期了表明该用户账户空闲时间过长此时属于正常过期后端直接返回用户信息已失效请重新登录即可。cache token存在则需要使用jwt工具类验证该cache token 是否过期超时不过期无需处理。过期则表示该用户一直在操作只是token失效了后端程序会给token对应的key映射的value值重新生成 token并覆盖value值该缓存生命周期重新计算。实现逻辑的核心原理前端请求Header中设置的token保持不变校验有效性以缓存中的token为准。代码实现伪码登录成功后给用户签发token并设置token的有效期... SysUser sysUser userService.getUser(username,password); if(null ! sysUser){ String token JwtUtil.sign(sysUser.getUsername(), sysUser.getPassword()); } ... public static String sign(String username, String secret) { //设置token有效期为30分钟 Date date new Date(System.currentTimeMillis() 30 * 60 * 1000); //使用HS256生成token,密钥则是用户的密码 Algorithm algorithm Algorithm.HMAC256(secret); // 附带username信息 return JWT.create().withClaim(username, username).withExpiresAt(date).sign(algorithm); }将token存入redis并设定过期时间将redis的过期时间设置成token过期时间的两倍Sting tokenKey sys:user:token token; redisUtil.set(tokenKey, token); redisUtil.expire(tokenKey, 30 * 60 * 2); //将token返回给前端用户 return token前端调用后端接口时在请求头中添加token略过滤器校验token校验token有效性public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException { //从header中获取token String token httpServletRequest.getHeader(token) if(null token){ throw new RuntimeException(illegal requesttoken is necessary!) } //解析token获取用户名 String username JwtUtil.getUsername(token); //根据用户名获取用户实体在实际开发中从redis取 User user userService.findByUser(username); if(null user){ throw new RuntimeException(illegal requesttoken is Invalid!) } //校验token是否失效自动续期 if(!refreshToken(token,username,user.getPassword())){ throw new RuntimeException(illegal requesttoken is expired!) } ... }实现token的自动续期public boolean refreshToken(String token, String userName, String passWord) { Sting tokenKey sys:user:token token ; String cacheToken String.valueOf(redisUtil.get(tokenKey)); if (StringUtils.isNotEmpty(cacheToken)) { // 校验token有效性注意需要校验的是缓存中的token if (!JwtUtil.verify(cacheToken, userName, passWord)) { String newToken JwtUtil.sign(userName, passWord); // 设置超时时间 redisUtil.set(tokenKey, newToken) ; redisUtil.expire(tokenKey, 30 * 60 * 2); } return true; } return false; } ... public static boolean verify(String token, String username, String secret) { try { // 根据密码生成JWT效验器 Algorithm algorithm Algorithm.HMAC256(secret); JWTVerifier verifier JWT.require(algorithm).withClaim(username, username).build(); // 效验TOKEN DecodedJWT jwt verifier.verify(token); return true; } catch (Exception exception) { return false; } }本文中jwt的相关操作是基于com.auth0.java-jwt实现大家可以通过阅读原文获取JWTUtil工具类。小结jwt token实现逻辑的核心原理是 前端请求Header中设置的token保持不变校验有效性以缓存中的token为准千万不要直接校验Header中的token。实现原理部分大家好好体会一下思路比实现更重要!