当前位置：首页 > news >正文

Spring Security笔记

news 文章来源：https://blog.csdn.net/weixin_40017062/article/details/134254431 2025/5/24 7:51:40

Spring Security 是 Spring家族中的一个安全管理框架。

一般来说中大型的项目都是使用 SpringSecurity 来做安全框架，小项目用相对简单的Shiro。认证、授权是 SpringSecurity 作为安全框架的核心功能。

认证：通过用户名密码验证当前访问系统的是不是本系统的用户，并且要确认具体是哪个用户。
授权：经过认证后判断当前用户是否有权限进行某个操作。

本笔记只做代码编写，具体概念参考：
📖 Spring Security 详解
📖 B站视频链接：SpringSecurity框架教程-Spring Security+JWT实现项目级前端分离认证授权

1. 入门

📌 认证流程图：
在这里插入图片描述

Authentication接口：它的实现类，表示当前访问系统的用户，封装了用户相关信息。
AuthenticationManager接口：定义了认证 Authentication 的方法 authenticate()
UserDetailsService接口：加载用户特定数据的核心接口。里面定义了一个根据用户名查询用户信息的方法loadUserByUsername()。
UserDetails接口：提供核心用户信息。通过 UserDetailsService 根据用户名获取处理的用户信息要封装成 UserDetails 对象返回。然后将这些信息封装到 Authentication 对象中。

1.1 实现UserDetailsService

UserDetailsService接口，在这个实现类中去查询数据库。

📅 1. pom.xml：

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd"><modelVersion>4.0.0</modelVersion><groupId>org.ymqx</groupId><artifactId>SpringSecurityDemo</artifactId><version>1.0-SNAPSHOT</version><name>SpringSecurityDemo</name><properties><project.build.sourceEncoding>UTF-8</project.build.sourceEncoding><maven.compiler.source>1.8</maven.compiler.source><maven.compiler.target>1.8</maven.compiler.target></properties><parent><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-parent</artifactId><version>2.5.0</version></parent><dependencies><!--web--><dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-web</artifactId></dependency><!--lombok--><dependency><groupId>org.projectlombok</groupId><artifactId>lombok</artifactId><optional>true</optional></dependency><!--security--><dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-security</artifactId></dependency><!--mybatis-plus--><dependency><groupId>com.baomidou</groupId><artifactId>mybatis-plus-boot-starter</artifactId><version>3.4.3</version></dependency><!--mysql--><dependency><groupId>mysql</groupId><artifactId>mysql-connector-java</artifactId></dependency></dependencies>
</project>

引入依赖：spring-boot-starter-security

📅 2. service：

package org.ymqx.service.impl;import ...import java.util.Objects;@Service
public class UserDetailsServiceImpl implements UserDetailsService {@Autowiredprivate UserMapper userMapper;@Overridepublic UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {// 1、根据用户名查询用户信息LambdaQueryWrapper<User> wrapper = new LambdaQueryWrapper<>();wrapper.eq(User::getUserName, username);User user = userMapper.selectOne(wrapper);// 1.1、如果查询不到数据就通过抛出异常来给出提示if(Objects.isNull(user)){throw new RuntimeException("用户名或密码错误");}// 2、根据用户查询权限信息 添加到LoginUser中// 3、封装成UserDetails对象返回UserDetails loginUser = new LoginUser(user);return loginUser;}
}

✨ 实现UserDetailsService接口，重写loadUserByUsername()方法，内部实现查询数据库逻辑，将获取的用户信息封装成UserDetails对象返回。

1.2 实现UserDetails

📅 3. domain.LoginUser：

package org.ymqx.domain;import ...import java.util.Collection;@Data
@NoArgsConstructor
public class LoginUser implements UserDetails {private User user;public LoginUser(User user) {this.user = user;}@Overridepublic Collection<? extends GrantedAuthority> getAuthorities() {return null;}@Overridepublic String getPassword() {// 返回用户密码return user.getPassword();}@Overridepublic String getUsername() {// 返回用户名return user.getUserName();}@Overridepublic boolean isAccountNonExpired() {// 返回truereturn true;}@Overridepublic boolean isAccountNonLocked() {// 返回truereturn true;}@Overridepublic boolean isCredentialsNonExpired() {// 返回truereturn true;}@Overridepublic boolean isEnabled() {// 返回truereturn true;}
}

✨ 实现UserDetails接口，通过 UserDetailsService 根据用户名获取处理的用户信息要封装成 UserDetails 对象返回。然后将这些信息封装到 Authentication 对象中。

1.3 MybatisPuls查询数据库

sys_user 用户表建表语句：

CREATE TABLE `sys_user` (`id` BIGINT(20) NOT NULL AUTO_INCREMENT COMMENT '主键',`user_name` VARCHAR(64) NOT NULL DEFAULT 'NULL' COMMENT '用户名',`nick_name` VARCHAR(64) NOT NULL DEFAULT 'NULL' COMMENT '昵称',`password` VARCHAR(64) NOT NULL DEFAULT 'NULL' COMMENT '密码',`status` CHAR(1) DEFAULT '0' COMMENT '账号状态（0正常 1停用）',`email` VARCHAR(64) DEFAULT NULL COMMENT '邮箱',`phonenumber` VARCHAR(32) DEFAULT NULL COMMENT '手机号',`sex` CHAR(1) DEFAULT NULL COMMENT '用户性别（0男，1女，2未知）',`avatar` VARCHAR(128) DEFAULT NULL COMMENT '头像',`user_type` CHAR(1) NOT NULL DEFAULT '1' COMMENT '用户类型（0管理员，1普通用户）',`create_by` BIGINT(20) DEFAULT NULL COMMENT '创建人的用户id',`create_time` DATETIME DEFAULT NULL COMMENT '创建时间',`update_by` BIGINT(20) DEFAULT NULL COMMENT '更新人',`update_time` DATETIME DEFAULT NULL COMMENT '更新时间',`del_flag` INT(11) DEFAULT '0' COMMENT '删除标志（0代表未删除，1代表已删除）',PRIMARY KEY (`id`)
) ENGINE=INNODB AUTO_INCREMENT=2 DEFAULT CHARSET=utf8mb4 COMMENT='用户表'

📅 4. application.yml 配置数据库信息：

spring:datasource:url: jdbc:mysql://localhost:3306/sg_security?characterEncoding=utf-8&serverTimezone=UTCusername: rootpassword: rootdriver-class-name: com.mysql.cj.jdbc.Driver

📅 5. domain.User：

package org.ymqx.domain;import ...
@Data
@AllArgsConstructor
@NoArgsConstructor
@TableName(value = "sys_user")
public class User implements Serializable {private static final long serialVersionUID = -40356785423868312L;/*** 主键*/@TableIdprivate Long id;/*** 用户名*/private String userName;/*** 昵称*/private String nickName;/*** 密码*/private String password;/*** 账号状态（0正常 1停用）*/private String status;/*** 邮箱*/private String email;/*** 手机号*/private String phonenumber;/*** 用户性别（0男，1女，2未知）*/private String sex;/*** 头像*/private String avatar;/*** 用户类型（0管理员，1普通用户）*/private String userType;/*** 创建人的用户id*/private Long createBy;/*** 创建时间*/private Date createTime;/*** 更新人*/private Long updateBy;/*** 更新时间*/private Date updateTime;/*** 删除标志（0代表未删除，1代表已删除）*/private Integer delFlag;
}

📅 6. mapper：

package org.ymqx.mapper;import ...@Mapper
public interface UserMapper extends BaseMapper<User> {
}

1.4 配置类

📅 7. config：

package org.ymqx.config;import ...@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {// 指定加密类@Beanpublic PasswordEncoder passwordEncoder(){return new BCryptPasswordEncoder();}
}

实际项目中我们不会把密码明文存储在数据库中。

默认使用的PasswordEncoder要求数据库中的密码格式为：{id}password 。它会根据id去判断密码的加密方式。但是我们一般不会采用这种方式。所以就需要替换PasswordEncoder。
我们一般使用SpringSecurity为我们提供的BCryptPasswordEncoder。
我们只需要使用把BCryptPasswordEncoder对象注入Spring容器中，SpringSecurity就会使用该PasswordEncoder来进行密码校验。
我们可以定义一个 SpringSecurity 的配置类，SpringSecurity 要求这个配置类要继承WebSecurityConfigurerAdapter。

public class Test5 {public static void main(String[] args) {BCryptPasswordEncoder passwordEncoder = new BCryptPasswordEncoder();String encode = passwordEncoder.encode("123456");System.out.println(encode);boolean matches = passwordEncoder.matches("123456", encode);System.out.println(matches);}
}输出：
$2a$10$V.th3Vaeh9lzPJmtyM3A7eqL9YRZ1Cv4By4KmJN2F6t5bng6P4UFG
true

字符串"123456"生成的密文插入到用户表sys_user 。

--密码原文存储
insert into sys_user(user_name,nick_name,password,status,email,phonenumber,sex,avatar,user_type,create_by,create_time,update_by,update_time,del_flag) 
values('sg','三更','$2a$10$V.th3Vaeh9lzPJmtyM3A7eqL9YRZ1Cv4By4KmJN2F6t5bng6P4UFG','0',null,'123456789','男','','0','0','2022-06-01','0','2022-06-01','0')

1.5 测试

📅 8. controller：

package org.ymqx.controller;import ...@RestController
public class HelloController {@RequestMapping("/hello")public String hello(){return "hello";}
}

📅 9. 启动类：

package org.ymqx;import ...@SpringBootApplication
@MapperScan("org.ymqx.mapper")
public class SecurityApplication
{public static void main( String[] args ) {SpringApplication.run(SecurityApplication.class,args);}
}

📌 访问 http://localhost:8086/hello

请添加图片描述

📌 输入账号：sg、密码：123456

请添加图片描述

验证成功，返回响应。

2. 整合JWT、Redis

入门案例每次访问资源都要重新认证，而且需要使用SpringSecurity默认的login页面，所以我们需要自定义登录接口。通过入门的认证流程图可知，通过AuthenticationManager的authenticate()方法来进行用户认证，同时，需要将登录接口进行放行，让用户访问这个接口的时候不用登录也能访问。

认证成功的话要生成一个JWT，放入响应中返回。并且为了让用户下回请求时能通过JWT识别出具体的是哪个用户，我们需要把用户信息存入redis，可以把用户 id 作为 key。

在这里插入图片描述

自定义登录接口，调用 ProviderManager 的方法进行认证，如果认证通过生成JWT，把用户信息存入 redis 中。
自定义 UserDetailsService，在这个实现类中去查询数据库。（已经实现）

校验：

定义 Jwt 认证过滤器，获取token，解析 token 获取其中的 userid，通过 userid 从 redis 中获取用户信息，存入SecurityContextHolder。

2.1 新增依赖

📅 1. pom.xml：

    <!--redis依赖--><dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-data-redis</artifactId></dependency><!-- 引入redis连接池的依赖 --><dependency><groupId>org.apache.commons</groupId><artifactId>commons-pool2</artifactId></dependency><!--fastjson依赖--><dependency><groupId>com.alibaba</groupId><artifactId>fastjson</artifactId><version>1.2.33</version></dependency><!--jwt依赖--><dependency><groupId>io.jsonwebtoken</groupId><artifactId>jjwt</artifactId><version>0.9.0</version></dependency>

2.2 新增工具类

📅 2. utils.FastJsonRedisSerializer：

配置 redis 序列化

package org.ymqx.utils;import ...;/*** Redis使用FastJson序列化**/
public class FastJsonRedisSerializer<T> implements RedisSerializer<T>
{public static final Charset DEFAULT_CHARSET = Charset.forName("UTF-8");private Class<T> clazz;static{ParserConfig.getGlobalInstance().setAutoTypeSupport(true);}public FastJsonRedisSerializer(Class<T> clazz){super();this.clazz = clazz;}@Overridepublic byte[] serialize(T t) throws SerializationException{if (t == null){return new byte[0];}return JSON.toJSONString(t, SerializerFeature.WriteClassName).getBytes(DEFAULT_CHARSET);}@Overridepublic T deserialize(byte[] bytes) throws SerializationException{if (bytes == null || bytes.length <= 0){return null;}String str = new String(bytes, DEFAULT_CHARSET);return JSON.parseObject(str, clazz);}protected JavaType getJavaType(Class<?> clazz){return TypeFactory.defaultInstance().constructType(clazz);}
}

📅 3. config.RedisConfig：

配置 RedisTemplate

package org.ymqx.config;import ...@Configuration
public class RedisConfig {@Bean@SuppressWarnings(value = { "unchecked", "rawtypes" })public RedisTemplate<Object, Object> redisTemplate(RedisConnectionFactory connectionFactory){RedisTemplate<Object, Object> template = new RedisTemplate<>();template.setConnectionFactory(connectionFactory);FastJsonRedisSerializer serializer = new FastJsonRedisSerializer(Object.class);// 使用StringRedisSerializer来序列化和反序列化redis的key值template.setKeySerializer(new StringRedisSerializer());template.setValueSerializer(serializer);// Hash的key也采用StringRedisSerializer的序列化方式template.setHashKeySerializer(new StringRedisSerializer());template.setHashValueSerializer(serializer);template.afterPropertiesSet();return template;}
}

📅 4. utils.RedisCache：

配置 redis 工具类

package org.ymqx.utils;import ...@SuppressWarnings(value = { "unchecked", "rawtypes" })
@Component
public class RedisCache
{@Autowiredpublic RedisTemplate redisTemplate;/*** 缓存基本的对象，Integer、String、实体类等** @param key 缓存的键值* @param value 缓存的值*/public <T> void setCacheObject(final String key, final T value){redisTemplate.opsForValue().set(key, value);}/*** 缓存基本的对象，Integer、String、实体类等** @param key 缓存的键值* @param value 缓存的值* @param timeout 时间* @param timeUnit 时间颗粒度*/public <T> void setCacheObject(final String key, final T value, final Integer timeout, final TimeUnit timeUnit){redisTemplate.opsForValue().set(key, value, timeout, timeUnit);}/*** 设置有效时间** @param key Redis键* @param timeout 超时时间* @return true=设置成功；false=设置失败*/public boolean expire(final String key, final long timeout){return expire(key, timeout, TimeUnit.SECONDS);}/*** 设置有效时间** @param key Redis键* @param timeout 超时时间* @param unit 时间单位* @return true=设置成功；false=设置失败*/public boolean expire(final String key, final long timeout, final TimeUnit unit){return redisTemplate.expire(key, timeout, unit);}/*** 获得缓存的基本对象。** @param key 缓存键值* @return 缓存键值对应的数据*/public <T> T getCacheObject(final String key){ValueOperations<String, T> operation = redisTemplate.opsForValue();return operation.get(key);}/*** 删除单个对象** @param key*/public boolean deleteObject(final String key){return redisTemplate.delete(key);}/*** 删除集合对象** @param collection 多个对象* @return*/public long deleteObject(final Collection collection){return redisTemplate.delete(collection);}/*** 缓存List数据** @param key 缓存的键值* @param dataList 待缓存的List数据* @return 缓存的对象*/public <T> long setCacheList(final String key, final List<T> dataList){Long count = redisTemplate.opsForList().rightPushAll(key, dataList);return count == null ? 0 : count;}/*** 获得缓存的list对象** @param key 缓存的键值* @return 缓存键值对应的数据*/public <T> List<T> getCacheList(final String key){return redisTemplate.opsForList().range(key, 0, -1);}/*** 缓存Set** @param key 缓存键值* @param dataSet 缓存的数据* @return 缓存数据的对象*/public <T> BoundSetOperations<String, T> setCacheSet(final String key, final Set<T> dataSet){BoundSetOperations<String, T> setOperation = redisTemplate.boundSetOps(key);Iterator<T> it = dataSet.iterator();while (it.hasNext()){setOperation.add(it.next());}return setOperation;}/*** 获得缓存的set** @param key* @return*/public <T> Set<T> getCacheSet(final String key){return redisTemplate.opsForSet().members(key);}/*** 缓存Map** @param key* @param dataMap*/public <T> void setCacheMap(final String key, final Map<String, T> dataMap){if (dataMap != null) {redisTemplate.opsForHash().putAll(key, dataMap);}}/*** 获得缓存的Map** @param key* @return*/public <T> Map<String, T> getCacheMap(final String key){return redisTemplate.opsForHash().entries(key);}/*** 往Hash中存入数据** @param key Redis键* @param hKey Hash键* @param value 值*/public <T> void setCacheMapValue(final String key, final String hKey, final T value){redisTemplate.opsForHash().put(key, hKey, value);}/*** 获取Hash中的数据** @param key Redis键* @param hKey Hash键* @return Hash中的对象*/public <T> T getCacheMapValue(final String key, final String hKey){HashOperations<String, String, T> opsForHash = redisTemplate.opsForHash();return opsForHash.get(key, hKey);}/*** 删除Hash中的数据** @param key* @param hkey*/public void delCacheMapValue(final String key, final String hkey){HashOperations hashOperations = redisTemplate.opsForHash();hashOperations.delete(key, hkey);}/*** 获取多个Hash中的数据** @param key Redis键* @param hKeys Hash键集合* @return Hash对象集合*/public <T> List<T> getMultiCacheMapValue(final String key, final Collection<Object> hKeys){return redisTemplate.opsForHash().multiGet(key, hKeys);}/*** 获得缓存的基本对象列表** @param pattern 字符串前缀* @return 对象列表*/public Collection<String> keys(final String pattern){return redisTemplate.keys(pattern);}
}

📅 5. application.yml ：

配置 redis 地址信息

spring:redis:database: 0host: 127.0.0.1port: 6379timeout: 5000lettuce:pool:max-active: 32max-wait: -1max-idle: 16min-idle: 8

📅 6. utils.JwtUtil：

配置 JWT 工具类

package org.ymqx.utils;import .../*** JWT工具类*/
public class JwtUtil {//有效期为public static final Long JWT_TTL = 60 * 60 * 1000L;// 60 * 60 *1000  一个小时//设置秘钥明文public static final String JWT_KEY = "zndl";public static String getUUID(){String token = UUID.randomUUID().toString().replaceAll("-", "");return token;}/*** 生成加密后的秘钥 secretKey* @return*/public static SecretKey generalKey() {byte[] encodedKey = Base64.getDecoder().decode(JwtUtil.JWT_KEY);SecretKey key = new SecretKeySpec(encodedKey, 0, encodedKey.length, "AES");return key;}/*** 生成jtw* @param subject token中要存放的数据（json格式）* @return*/public static String createJWT(String subject) {JwtBuilder builder = getJwtBuilder(subject, null, getUUID());// 设置过期时间return builder.compact();}/*** 生成jtw* @param subject token中要存放的数据（json格式）* @param ttlMillis token超时时间* @return*/public static String createJWT(String subject, Long ttlMillis) {JwtBuilder builder = getJwtBuilder(subject, ttlMillis, getUUID());  // 设置过期时间return builder.compact();}/*** 创建token* @param id 唯一的ID* @param subject token中要存放的数据（json格式）* @param ttlMillis token超时时间* @return*/public static String createJWT(String id, String subject, Long ttlMillis) {JwtBuilder builder = getJwtBuilder(subject, ttlMillis, id);   // 设置过期时间return builder.compact();}private static JwtBuilder getJwtBuilder(String subject, Long ttlMillis, String uuid) {SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;SecretKey secretKey = generalKey();long nowMillis = System.currentTimeMillis();Date now = new Date(nowMillis);if(ttlMillis==null){ttlMillis=JwtUtil.JWT_TTL;}long expMillis = nowMillis + ttlMillis;Date expDate = new Date(expMillis);System.out.println(uuid);System.out.println(subject);System.out.println(secretKey);System.out.println(expDate);return Jwts.builder().setId(uuid)             // 唯一的ID.setSubject(subject)     // 主题  可以是JSON数据.setIssuer("admin")      // 签发者.setIssuedAt(now)        // 签发时间.signWith(signatureAlgorithm, secretKey) //使用HS256对称加密算法签名, 第二个参数为秘钥.setExpiration(expDate);}/*** 解析** @param jwt* @return* @throws Exception*/public static Claims parseJWT(String jwt) throws Exception {SecretKey secretKey = generalKey();return Jwts.parser().setSigningKey(secretKey).parseClaimsJws(jwt).getBody();}public static void main(String[] args) throws Exception {// 生成JWT/*String jwt = JwtUtil.createJWT("{user=shwen}");System.out.println(jwt);*/// 生成JWT，设置过期时间String jwt = JwtUtil.createJWT("{user=shwen}", 60*1000L);System.out.println(jwt);//过期JWT解析会抛出异常String token = "eyJhbGciOiJIUzI1NiJ9.eyJqdGkiOiI1ODljMGE0MDQ0Y2Y0YmJiYmFhYjFiOWFmOTMzYzc3ZiIsInN1YiI6Int1c2VyPXNod2VufSIsImlzcyI6ImFkbWluIiwiaWF0IjoxNjk5MjczMzE0LCJleHAiOjE2OTkyNzMzNzR9.xMOjtNp2AESTjuSq9G75DaZh9M1dDuLDr4s7yw-xw_Q";Claims claims = parseJWT(token);System.out.println(claims);}
}

📅 7. utils.WebUtils：

package org.ymqx.utils;import ...public class WebUtils
{/*** 将字符串渲染到客户端** @param response 渲染对象* @param string 待渲染的字符串* @return null*/public static String renderString(HttpServletResponse response, String string) {try{response.setStatus(200);response.setContentType("application/json");response.setCharacterEncoding("utf-8");response.getWriter().print(string);}catch (IOException e){e.printStackTrace();}return null;}
}

2.3 实现登陆接口

在 SecurityConfig 中配置把 AuthenticationManager 注入容器。
登陆接口中我们通过 AuthenticationManager 的authenticate()方法来进行用户认证。
SpringSecurity对登录接口进行放行。

📅 8. config.SecurityConfig：

注入AuthenticationManager，对登录接口进行放行。

package org.ymqx.config;import ...@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {// 指定加密类@Beanpublic PasswordEncoder passwordEncoder(){return new BCryptPasswordEncoder();}// 注入AuthenticationManager 到容器@Bean@Overridepublic AuthenticationManager authenticationManagerBean() throws Exception {return super.authenticationManagerBean();}// 对登录接口进行放行 antMatchers("/user/login").anonymous()@Overrideprotected void configure(HttpSecurity http) throws Exception {http//关闭csrf.csrf().disable()//不通过Session获取SecurityContext.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS).and().authorizeRequests()// 对于登录接口 允许匿名访问.antMatchers("/user/login").anonymous()// 除上面外的所有请求全部需要鉴权认证.anyRequest().authenticated();}
}

📅 9. service：

package org.ymqx.service;import org.ymqx.domain.ResponseResult;
import org.ymqx.domain.User;public interface LoginServcie {public ResponseResult login(User user);public ResponseResult logout(User user);
}

📅 10. service.impl：

登陆接口中我们通过 AuthenticationManager 的authenticate()方法来进行用户认证。

package org.ymqx.service.impl;import ...@Service
public class LoginServiceImpl implements LoginServcie {@Autowiredprivate AuthenticationManager authenticationManager;@Autowiredprivate RedisCache redisCache;@Overridepublic ResponseResult login(User user) {// 1、自定义authenticationTokenUsernamePasswordAuthenticationToken authenticationToken = new UsernamePasswordAuthenticationToken(user.getUserName(),user.getPassword());Authentication authenticate = authenticationManager.authenticate(authenticationToken);if(Objects.isNull(authenticate)){throw new RuntimeException("用户名或密码错误");}// 2、使用userid生成tokenLoginUser loginUser = (LoginUser) authenticate.getPrincipal();String userId = loginUser.getUser().getId().toString();String jwt = JwtUtil.createJWT(userId);// 3、将 authenticate 存入 redisString key= "login:" + userId;System.out.println(key);redisCache.setCacheObject(key, loginUser);// 4、把token响应给前端HashMap<String,String> map = new HashMap<>();map.put("token", jwt);return new ResponseResult(200,"登陆成功", map);}@Overridepublic ResponseResult logout(User user) {// 1、通过全局 SecurityContextHolder 获取当前 AuthenticationAuthentication authentication = SecurityContextHolder.getContext().getAuthentication();// 2、获取 LoginUser，并删除 redis 记录LoginUser loginUser = (LoginUser) authentication.getPrincipal();Long userid = loginUser.getUser().getId();redisCache.deleteObject("login:" + userid);return new ResponseResult(200,"退出成功");}
}

2.4 调用controller

📅 11. domain.ResponseResult：

配置响应类

package org.ymqx.domain;import lombok.Data;@Data
public class ResponseResult<T> {/*** 状态码*/private Integer code;/*** 提示信息，如果有错误时，前端可以获取该字段进行提示*/private String msg;/*** 查询到的结果数据，*/private T data;public ResponseResult(Integer code, String msg) {this.code = code;this.msg = msg;}public ResponseResult(Integer code, T data) {this.code = code;this.data = data;}public ResponseResult(Integer code, String msg, T data) {this.code = code;this.msg = msg;this.data = data;}
}

📅 12. controller.LoginController：

配置请求地址 /user/login controller

package org.ymqx.controller;import ...import java.util.List;@RestController
public class LoginController {@Autowiredprivate LoginServcie loginServcie;@PostMapping("/user/login")public ResponseResult login(@RequestBody User user){return loginServcie.login(user);}
}

2.5 定义 Jwt 认证过滤器

定义 Jwt 认证过滤器，获取token，解析 token 获取其中的 userid，通过 userid 从 redis 中获取用户信息，存入SecurityContextHolder。

📅 13. filter.JwtAuthenticationTokenFilter：

package org.ymqx.filter;import ...@Component
public class JwtAuthenticationTokenFilter extends OncePerRequestFilter {@Autowiredprivate RedisCache redisCache;@Overrideprotected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {// 1、获取tokenString token = request.getHeader("token");System.out.println("token=" + token);if (!StringUtils.hasText(token)) {//放行filterChain.doFilter(request, response);return;}// 2、解析tokenString userid;try {Claims claims = JwtUtil.parseJWT(token);userid = claims.getSubject();System.out.println("userid=" + userid);} catch (Exception e) {e.printStackTrace();throw new RuntimeException("token非法");}// 3、从redis中获取用户信息String redisKey = "login:" + userid;LoginUser loginUser = redisCache.getCacheObject(redisKey);System.out.println("id=" + loginUser.getUser().getId());if(Objects.isNull(loginUser)){throw new RuntimeException("用户未登录");}// 4、存入SecurityContextHolder//TODO 获取权限信息封装到Authentication中UsernamePasswordAuthenticationToken authenticationToken =new UsernamePasswordAuthenticationToken(loginUser,null,null);SecurityContextHolder.getContext().setAuthentication(authenticationToken);// 5、放行filterChain.doFilter(request, response);}
}

📅 14. config.SecurityConfig：

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {@AutowiredJwtAuthenticationTokenFilter jwtAuthenticationTokenFilter;@Overrideprotected void configure(HttpSecurity http) throws Exception {http//关闭csrf.csrf().disable()//不通过Session获取SecurityContext.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS).and().authorizeRequests()// 对于登录接口 允许匿名访问.antMatchers("/user/login").anonymous()// 除上面外的所有请求全部需要鉴权认证.anyRequest().authenticated();//把token校验过滤器添加到过滤器链中http.addFilterBefore(jwtAuthenticationTokenFilter, UsernamePasswordAuthenticationFilter.class);}...
}

http.addFilterBefore(jwtAuthenticationTokenFilter, UsernamePasswordAuthenticationFilter.class); 将 token 校验过滤器添加到 SpringSecurity 过滤器链前面，保证Jwt认证过滤器提前执行。