介绍
如何使用Spring实现基于令牌的安全性功能。 让我们看一下工作流程以获得更好的理解：
- 用户使用用户名和密码发送请求。
- Spring Security将令牌返回给客户端API。
- 客户端API在每个请求中发送令牌作为身份验证的一部分。
- 使令牌在注销时失效。
让我们看看这个工作流程的样子：
1.Maven安装
我们将使用Spring Boot和Maven处理依赖关系。 在构建Spring Boot Web应用程序时，我们将为应用程序使用以下starters。
- Spring Boot Web starter
- Spring Boot Security starter.
- JPA starter
现在，我们的pom.xml如下所示：
<dependencies>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-web</artifactId>
</dependency>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-data-jpa</artifactId>
</dependency>
<dependency>
<groupId>mysql</groupId>
<artifactId>mysql-connector-java</artifactId>
</dependency>
<dependency>
<groupId>org.apache.commons</groupId>
<artifactId>commons-lang3</artifactId>
<version>3.8.1</version>
</dependency>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-test</artifactId>
<scope>test</scope>
</dependency>
<dependency>
<groupId>org.springframework.security</groupId>
<artifactId>spring-security-test</artifactId>
<scope>test</scope>
</dependency>
</dependencies>2. 数据库布局
我将在数据库级别简化此应用程序，我将使用一个表来存储用户详细信息和令牌。 在用户配置文件请求用户创建一个并返回此令牌之前，不会有针对用户个人资料的令牌。 表结构如下所示：
3. JPA 资料库
要保存并获取客户档案的令牌信息，我们需要创建一个自定义存储库。 该存储库负责根据令牌获取客户信息。 客户服务将使用我们的客户资源库基于令牌获取客户详细信息或执行登录。
@Repository
public interface CustomerRepository extends CrudRepository<Customer, Long> {
@Query(value = "SELECT u FROM Customer u where u.userName = ?1 and u.password = ?2 ")
Optional login(String username,String password);
Optional findByToken(String token);
}4. 客户验证服务
我们的客户验证服务遵循两个核心运营
提供登录功能以将令牌返回给客户端。
根据提供的令牌验证客户。
我们的客户服务如下所示：
@Service("customerService")
public class DefaultCustomerService implements CustomerService {
@Autowired
CustomerRepository customerRepository;
@Override
public String login(String username, String password) {
Optional customer = customerRepository.login(username,password);
if(customer.isPresent()){
String token = UUID.randomUUID().toString();
Customer custom= customer.get();
custom.setToken(token);
customerRepository.save(custom);
return token;
}
return StringUtils.EMPTY;
}
@Override
public Optional findByToken(String token) {
Optional customer= customerRepository.findByToken(token);
if(customer.isPresent()){
Customer customer1 = customer.get();
User user= new User(customer1.getUserName(), customer1.getPassword(), true, true, true, true,
AuthorityUtils.createAuthorityList("USER"));
return Optional.of(user);
}
return Optional.empty();
}
}让我们检查一下上面代码中的操作：
- 登录方法接受用户名和密码，并将返回用于成功凭证的令牌
- 我们将对所有安全资源使用第二种方法
5. Spring Security 配置
这些是使用Spring Security和基于令牌的身份验证来保护REST API的主要配置类。在本节中，我们将讨论以下类:
AuthenticationProvider: 通过其身份验证令牌查找用户.AuthenticationFilter:从请求标头中提取身份验证令牌SecurityConfiguration: Spring Security 配置
5.1 Token Authentication Provider
AuthenticationProvider负责根据客户端在标头中发送的身份验证令牌来查找用户。 这就是我们基于Spring的令牌身份验证提供程序的外观:
@Component
public class AuthenticationProvider extends AbstractUserDetailsAuthenticationProvider {
@Autowired
CustomerService customerService;
@Override
protected void additionalAuthenticationChecks(UserDetails userDetails, UsernamePasswordAuthenticationToken usernamePasswordAuthenticationToken) throws AuthenticationException {
//
}
@Override
protected UserDetails retrieveUser(String userName, UsernamePasswordAuthenticationToken usernamePasswordAuthenticationToken) throws AuthenticationException {
Object token = usernamePasswordAuthenticationToken.getCredentials();
return Optional
.ofNullable(token)
.map(String::valueOf)
.flatMap(customerService::findByToken)
.orElseThrow(() -> new UsernameNotFoundException("Cannot find user with authentication token=" + token));
}我们的AuthenticationProvider使用CustomerService根据令牌查找客户。
5.2 Token Authentication Filter
令牌认证过滤器负责从头获取认证过滤器，并调用认证管理器进行认证。 身份验证过滤器如下所示：
public class AuthenticationFilter extends AbstractAuthenticationProcessingFilter {
AuthenticationFilter(final RequestMatcher requiresAuth) {
super(requiresAuth);
}
@Override
public Authentication attemptAuthentication(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse) throws AuthenticationException, IOException, ServletException {
Optional tokenParam = Optional.ofNullable(httpServletRequest.getHeader(AUTHORIZATION)); //Authorization: Bearer TOKEN
String token= httpServletRequest.getHeader(AUTHORIZATION);
token= StringUtils.removeStart(token, "Bearer").trim();
Authentication requestAuthentication = new UsernamePasswordAuthenticationToken(token, token);
return getAuthenticationManager().authenticate(requestAuthentication);
}
@Override
protected void successfulAuthentication(final HttpServletRequest request, final HttpServletResponse response, final FilterChain chain, final Authentication authResult) throws IOException, ServletException {
SecurityContextHolder.getContext().setAuthentication(authResult);
chain.doFilter(request, response);
}
}让我们强调几个这里的要点:
- 此过滤器将身份验证委托给UsernamePasswordAuthenticationToken
- 此过滤器仅对特定的URL启用（在下一节中说明）
5.3 Spring Security配置
这负责将所有内容组合在一起。让我们看看我们的Spring安全配置是怎样:
@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {
private static final RequestMatcher PROTECTED_URLS = new OrRequestMatcher(
new AntPathRequestMatcher("/api/**")
);
AuthenticationProvider provider;
public SecurityConfiguration(final AuthenticationProvider authenticationProvider) {
super();
this.provider = authenticationProvider;
}
@Override
protected void configure(final AuthenticationManagerBuilder auth) {
auth.authenticationProvider(provider);
}
@Override
public void configure(final WebSecurity webSecurity) {
webSecurity.ignoring().antMatchers("/token/**");
}
@Override
public void configure(HttpSecurity http) throws Exception {
http.sessionManagement()
.sessionCreationPolicy(SessionCreationPolicy.STATELESS)
.and()
.exceptionHandling()
.and()
.authenticationProvider(provider)
.addFilterBefore(authenticationFilter(), AnonymousAuthenticationFilter.class)
.authorizeRequests()
.requestMatchers(PROTECTED_URLS)
.authenticated()
.and()
.csrf().disable()
.formLogin().disable()
.httpBasic().disable()
.logout().disable();
}
@Bean
AuthenticationFilter authenticationFilter() throws Exception {
final AuthenticationFilter filter = new AuthenticationFilter(PROTECTED_URLS);
filter.setAuthenticationManager(authenticationManager());
//filter.setAuthenticationSuccessHandler(successHandler());
return filter;
}
@Bean
AuthenticationEntryPoint forbiddenEntryPoint() {
return new HttpStatusEntryPoint(HttpStatus.FORBIDDEN);
}
}让我们检查一些要点:
- 与请求模式/api/ **匹配的所有URL都是安全的，并且需要有效的令牌进行访问。
- The
webSecurity.ignoring().antMatchers("/token/**")显示安全检查中排除的所有请求。 - 我们已经在Spring安全性中注册了AuthenticationProvider。 Spring Security将检查令牌验证.
- 配置方法包括基本配置以及禁用基于表单的登录和其他标准功能
此步骤总结了使用Spring Security和基于令牌的身份验证来保护REST API的步骤。 在下一步中，我们将设置一个简单的Spring Boot Web应用程序以测试我们的工作流程。
6. Spring Boot 控制器
让我们创建一个简单的Spring Boot控制器来测试我们的应用程序:
6.1 Token Controller
该控制器负责返回令牌以获取有效凭证:
@RestController
public class TokenController {
@Autowired
private CustomerService customerService;
@PostMapping("/token")
public String getToken(@RequestParam("username") final String username, @RequestParam("password") final String password){
String token= customerService.login(username,password);
if(StringUtils.isEmpty(token)){
return "no token found";
}
return token;
}
}6.2 安全用户资料控制器
这是安全控制器。 它将返回有效令牌的用户资料。仅在传递有效令牌后才能访问此控制器:
@RestController
public class UserProfileController {
@Autowired
private CustomerService customerService;
@GetMapping(value = "/api/users/user/{id}",produces = "application/json")
public Customer getUserDetail(@PathVariable Long id){
return customerService.findById(id);
}
}7. 测试应用
让我们构建和部署应用程序。一旦应用程序运行，就可以使用任何REST客户端来测试我们的应用程序（我使用的是Postman）:
不使用 Access Token:
让我们从API获取令牌:
将令牌用于安全URL：
总结
在本文中，我们了解了如何使用基于令牌的方法来使用Spring Security保护REST API。 我们介绍了用于保护REST API的不同配置和设置。
若有需要这篇文章的Intellij IDEA SpringBoot项目源代码的朋友，可先微信扫下图二维码打赏8～9元，然后截图付款收据，加QQ：5404125（备注：源码）联系下载源代码。
