Spring Boot：搭建一个简单的用户系统(三) - 登录
Spring Boot：搭建一个简单的用户系统 - 登录
- 一.准备工作
- 二.实现jwt-token
- 三.请求拦截
- 四.注意点
一.准备工作
提到登录，首先想到的是session，cookie，token等字眼，传统的BS和当前CS模式，使用的技术也不一样，既然我们是为移动开发服务，那肯定优先选择适合CS模式的登录方式，所以token更加适合。
先看看以上三种东西是如何定义的，有什么区别：
1.cookie/session
当服务器接收到客户端的请求后，生成一个session，添加到Set-Cookie头中，返回给客户端，客户端从中获取到sessionId，再次请求此域名时，将sessionId放入请求头cookie中，服务器接到sessionId后验证是否正确；
session是用户信息档案表，cookie是用户通行证；这种机制有个最为重要的特征，服务器需要存储每个用户的session，在服务器采用分布式或集群时，就会遇到负载均衡的问题，这时候token方案的优势就会显现，因为token中保存了用户信息，所以服务器不需要记录每个用户的token，这样就避免了session的问题；
2.token
除了上面说的服务器采用分布式或集群后出现的问题，token还可以解决csrf问题，避免表单攻击；
（1）JWT（Json Web Token）是目前流行的跨域身份验证解决方案，特别适合分布式站点的单点登录场景；
（2）JJWT，java中对jwt实现的库；
二.实现jwt-token
- pom.xml引入jjwt库
io.jsonwebtoken
jjwt
0.9.0
- 实现createJWT和parseJWT
public class JwtUtil {
/** token秘钥，请勿泄露，请勿随便修改 backups:JKKLJOoasdlfj */
private static final String SECRET = "DyoonSecret0581";
public static final String keyUserId = "uid";
/**
* 由字符串生成加密key
*
* @return
*/
private static SecretKey generalKey() {
// 本地的密码解码
byte[] encodedKey = Base64.decodeBase64(SECRET);
// 根据给定的字节数组使用AES加密算法构造一个密钥
SecretKey key = new SecretKeySpec(encodedKey, 0, encodedKey.length, "AES");
return key;
}
/**
* 创建jwt
* @param claims 创建payload的私有声明（根据特定的业务需要添加，如果要拿这个做验证，一般是需要和jwt的接收方提前沟通好验证方式的）
* @param id jwt_ID
* @param issuer 签发者
* @param subject 主题
* @param ttlMillis 过期时间，单位：ms
* @return
* @throws Exception
*/
public static String createJWT(Map claims,String id, String issuer, String subject, long ttlMillis) throws Exception {
// 指定签名的时候使用的签名算法，也就是header那部分，jjwt已经将这部分内容封装好了。
SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;
// 生成JWT的时间
long nowMillis = System.currentTimeMillis();
Date now = new Date(nowMillis);
// 生成签名的时候使用的秘钥secret，切记这个秘钥不能外露哦。它就是你服务端的私钥，在任何场景都不应该流露出去。
// 一旦客户端得知这个secret, 那就意味着客户端是可以自我签发jwt了。
SecretKey key = generalKey();
// 下面就是在为payload添加各种标准声明和私有声明了
JwtBuilder builder = Jwts.builder() // 这里其实就是new一个JwtBuilder，设置jwt的body
.setClaims(claims) // 如果有私有声明，一定要先设置这个自己创建的私有的声明，这个是给builder的claim赋值，一旦写在标准的声明赋值之后，就是覆盖了那些标准的声明的
.setId(id) // 设置jti(JWT ID)：是JWT的唯一标识，根据业务需要，这个可以设置为一个不重复的值，主要用来作为一次性token,从而回避重放攻击。
.setIssuedAt(now) // iat: jwt的签发时间
.setIssuer(issuer) // issuer：jwt签发人
.setSubject(subject) // sub(Subject)：代表这个JWT的主体，即它的所有人，这个是一个json格式的字符串，可以存放什么userid，roldid之类的，作为什么用户的唯一标志。
.signWith(signatureAlgorithm, key); // 设置签名使用的签名算法和签名使用的秘钥
// 设置过期时间
if (ttlMillis >= 0) {
long expMillis = nowMillis + ttlMillis;
Date exp = new Date(expMillis);
builder.setExpiration(exp);
}
return builder.compact();
}
/**
* 解密jwt
*
* @param jwt
* @return
* @throws Exception
*/
public static Claims parseJWT(String jwt) throws Exception {
SecretKey key = generalKey(); //签名秘钥，和生成的签名的秘钥一模一样
Claims claims = Jwts.parser() //得到DefaultJwtParser
.setSigningKey(key) //设置签名的秘钥
.parseClaimsJws(jwt).getBody(); //设置需要解析的jwt
return claims;
}
}
- 数据库接口
@Repository
public interface UsersRepository extends JpaRepository {
Users findByPhonenum(String phonenum);
}
- 接口代码
@Autowired
UsersRepository usersRepository;
/**token失效时间*/
private final long tokenFailureTime = 30*24*60*60*1000;
public ResponseInfo loginRequest(@RequestParam(value="phonenum") String phonenum,@RequestParam(value="authCode") String authCode){
try{
if(phonenum == null || phonenum.length() != 11) {
return new ResponseInfo(ResponseConfig.phonenumIsNullCode, ResponseConfig.phonenumIsNullMsg);
}else if(authCode == null || authCode.length() == 0){
return new ResponseInfo(ResponseConfig.authCodeIsNullCode, ResponseConfig.authCodeIsNullMsg);
}else if(authCode(phonenum,authCode)){//验证短信验证码是否正确
Users users = usersRepository.findByPhonenum(phonenum);
//查询不到直接注册一个新的账号
if(users == null){
Users user = new Users();
user.setPhonenum(phonenum);
users = usersRepository.save(user);
if(users == null){//注册失败返回
return new ResponseInfo(ResponseConfig.registerUsersErrorCode, ResponseConfig.registerUsersErrorMsg);
}
}
int userId = users.getId();
Map claims = new HashMap<>();
claims.put(JwtUtil.keyUserId,userId);
String token = JwtUtil.createJWT(claims,"","","",tokenFailureTime);
ResponseInfo responseInfo = new ResponseInfo(ResponseConfig.defaultCode, ResponseConfig.loginSucMsg);
responseInfo.setData(new LoginResponseInfo(token));
return responseInfo;
}
}catch (Exception e){
e.printStackTrace();
}
return new ResponseInfo(ResponseConfig.unknowCode,ResponseConfig.unknowMsg);
}
三.请求拦截
登录已经搞定，貌似是可以了，但是有没有发现，token只是生成了，验证没有，这时候就需要进行请求拦截和token有效性验证了。
SpringBoot为我们提供了拦截器：HandlerInterceptor
public class AuthorizationInterceptor implements HandlerInterceptor {
@Autowired
private StringRedisTemplate redisTemplate;
@Override
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler){
ResponseInfo responseInfo = new ResponseInfo(ResponseConfig.noLoginCode, ResponseConfig.noLoginMsg);
try{
String token = request.getHeader(HeaderConfig.httpHeaderTokenName);
if(token != null && token.length() > 0){
Claims c = JwtUtil.parseJWT(token);
int userId = c.get(JwtUtil.keyUserId,Integer.class);
// String userId2 = redisTemplate.opsForValue().get(token);
return true;
}
}catch (ExpiredJwtException e){
responseInfo = new ResponseInfo(ResponseConfig.tokenValidCode, ResponseConfig.tokenValidMsg);
}catch (Exception e){
responseInfo = new ResponseInfo(ResponseConfig.tokenValidCode, ResponseConfig.tokenValidMsg);
}
try{
response.setCharacterEncoding("UTF-8");
response.setContentType("application/json; charset=utf-8");
String json = new Gson().toJson(responseInfo);
PrintWriter out = response.getWriter();
out.append(json);
} catch (Exception e){
e.printStackTrace();
}
return false;
}
@Override
public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {
}
@Override
public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {
}
}
还需要添加拦截器
@Configuration
public class ApiConfigurer implements WebMvcConfigurer {
@Override
public void addInterceptors(InterceptorRegistry registry) {
//登录拦截的管理器
InterceptorRegistration registration = registry.addInterceptor(new AuthorizationInterceptor()); //拦截的对象会进入这个类中进行判断
registration.addPathPatterns("/**"); //所有路径都被拦截
registration.excludePathPatterns("/authcode","/login"); //添加不拦截路径
}
}
至此，整个登录流程完成。
四.注意点
1.登录的短信验证没有对暴力破解加限制，会导致频繁调用此接口进行暴力破解，最好对一个号的登录次数做限制；
2.token里面是可以放一些自定义的数据，在拦截器中可以进行检验；
下一篇针对三方账号微信绑定进行说明。