jwt令牌实现接口保护

jwt简要说明

登录成功后，将用jwt生成的token返回给前端，可以存放在localstore中，后端不保留身份信息（服务器即使重启也不影响，一但颁发，不可收回）。前端拿着token 上后端确认身份 （会检验出来token是否修改），访问一些受保护的接口时，在headher携带token 进行身份验证。用进行加密算法校验去代替频繁的查询数据库
token分为三部分
Header ：一般存放加密使用的算法（可以不特殊指明）
Payload:存放返回来的信息 如user的身份信息 可以被解密 不能存放敏感信息
Signature: 对前两部分加上秘钥进行签名，确保没有被修改过。验证时，加上秘钥，看数据是否一致

具体使用

引入pom依赖

  
            com.auth0
            java-jwt
            3.4.0
        

封装工具类，能够进行颁发token ，验证token， 从token中获取信息

将秘钥放在配置文件中 ，统一管理

package com.yan.utils;
import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTCreator;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.interfaces.DecodedJWT;
import java.util.Calendar;
import java.util.Map;
public class JwtUtils {
    public static String getToken(Mapmap){
        JWTCreator.Builder builder= JWT.create();
        map.forEach((k,v)->{
            builder.withClaim(k,v);
        });
        Calendar instance = Calendar.getInstance();
        instance.add(Calendar.MINUTE ,10);
        builder.withExpiresAt(instance.getTime());
        return builder.sign(Algorithm.HMAC256("e12we!")).toString();
    }
    public static DecodedJWT getToken(String token){
        return JWT.require(Algorithm.HMAC256("e12we!")).build().verify(token);
    }
    public static void verify(String token){
        JWT.require(Algorithm.HMAC256("e12we!")).build().verify(token);
    }
}

一个小demo
没有token 用户只能访问登录接口 ，登录合格后 带着token 才可以访问其他接口

设置拦截器 将所有请求拦截 放行登录接口

package com.yan.interceptor;
import com.auth0.jwt.exceptions.AlgorithmMismatchException;
import com.auth0.jwt.exceptions.InvalidClaimException;
import com.auth0.jwt.exceptions.SignatureGenerationException;
import com.auth0.jwt.exceptions.TokenExpiredException;
import com.fasterxml.jackson.databind.ObjectMapper;
import com.yan.utils.JwtUtils;
import org.springframework.web.servlet.HandlerInterceptor;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.util.HashMap;
public class JwtInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        HashMap map = new HashMap<>();
        String token = request.getHeader("token");
        try{
            JwtUtils.verify(token);
            return true;
        }
       catch (TokenExpiredException e){
            map.put("msg","token过期");
       }catch (AlgorithmMismatchException e){
            map.put("msg","token算法不一致");
        }
        catch (SignatureGenerationException e){
            map.put("msg","无效签名");
        }
        catch (InvalidClaimException e){
            map.put("msg","token被修改");
        }
        catch (Exception e){

            map.put("msg","token无效");
        }
        map.put("status","500");
        String json = new ObjectMapper().writeValueAsString(map);
        response.setContentType("application/json;charset=UTF-8");
        response.getWriter().println(json);
        return false;
    }
}

package com.yan.config;

import com.yan.interceptor.JwtInterceptor;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;
@Configuration
public class InterceptorConfig implements WebMvcConfigurer {
    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(new JwtInterceptor())
                .addPathPatterns("/**")
                .excludePathPatterns("/user/login");
    }
}

@RestController
@RequestMapping("/user")
public class UserController {
   @Autowired
    IUserService service;
    @PostMapping("/login")
    public Map test(@RequestBody User user){
        HashMap map = new HashMap<>();
        User one = service.getOne(new QueryWrapper().eq("id", user.getId()).
                eq("passwd", user.getPasswd()));
        if(!ObjectUtil.isNull(one)){
            HashMap userToken = new HashMap<>();
            userToken.put("name",user.getName());
            userToken.put("id",user.getId().toString());
            map.put("token", JwtUtils.getToken(userToken));
            map.put("status","200");
            return map;
        }
        map.put("statue","500");
        return map;
    }
    @GetMapping("/getAll")
    public String getAll(HttpServletRequest request){
        String token = request.getHeader("token");
        DecodedJWT token1 = JwtUtils.getToken(token);
        return token1.getClaim("id").asString();
    }
}

最后测试

前后端分离时 axios 使用前置拦截器在所有请求的请求头中添加 token

import axios from "axios";
const instance=axios.create({
baseURL:'http://localhost:8888'
})
instance.interceptors.request.use(config=>{

  let token= window.localStorage.getItem("token");

  if(token!=null){
      config.headers.token=token;
  }
    console.log(config);
    return config;

})
export default instance;

同时发现 Springboot 拦截器导致 @CrossOrigin 跨域失效 解决办法
preHandle 加：

if("OPTIONS".equals(request.getMethod().toUpperCase())) {
            return true;
        }

或者停用 @CrossOrigin