SpringBoot使用token簡單鑒權

本文使用SpringBoot結合Redis進行簡單的token鑒權。

1.簡介

剛剛換了公司，是以最近有些忙碌，是以一直沒有什麼産出，最近朋友問我登入相關的，是以這裡先寫一篇簡單使用token鑒權的文章，後續會補充一些高階的，是以如果感覺這篇文章簡單，可以直接繞行，言歸正傳，現在一般系統都進行了前後端分離，為了保證一定的安全性，現在很流行使用token來進行會話的驗證，一般流程如下：

使用者登入請求登入接口時，驗證使用者名密碼等，驗證成功會傳回給前端一個token，這個token就是之後鑒權的唯一憑證。
背景可能将token存儲在redis或者資料庫中。
之後前端的請求，需要在header中攜帶token，後端取出token去redis或者資料庫中進行驗證，如果驗證通過則放行，如果不通過則拒絕操作。

當然，如上的說法隻是簡單的實作，實質上還有很多需要優化的地方。

2.具體實作

2.1 工程結構

本文工程結構如下：

其中：

config：用于配置攔截器
controller：這裡隻編寫了LoginController（用于登入和登出）和TestController（用于測試未登入效果）
interceptor：編寫攔截器代碼
service：隻寫了操作redis的代碼和登入相關的代碼

2.2 代碼實作

本文使用redis存儲token資訊，使用者隻是建立了一個固定的使用者，在pom中加入相關依賴，完整内容如下：

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 https://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>
    <parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>2.2.0.RELEASE</version>
        <relativePath/> <!-- lookup parent from repository -->
    </parent>
    <groupId>com.dalaoyang</groupId>
    <artifactId>springboot2_redis_login</artifactId>
    <version>0.0.1-SNAPSHOT</version>
    <name>springboot2_redis_login</name>
    <description>springboot2_redis_login</description>

    <properties>
        <java.version>1.8</java.version>
    </properties>

    <dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-data-redis</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-devtools</artifactId>
            <scope>runtime</scope>
            <optional>true</optional>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-test</artifactId>
            <scope>test</scope>
            <exclusions>
                <exclusion>
                    <groupId>org.junit.vintage</groupId>
                    <artifactId>junit-vintage-engine</artifactId>
                </exclusion>
            </exclusions>
        </dependency>
    </dependencies>

    <build>
        <plugins>
            <plugin>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-maven-plugin</artifactId>
            </plugin>
        </plugins>
    </build>

</project>

配置檔案中配置對應的redis資訊，如下：

server.port=8888
##redis配置
spring.redis.host=localhost
spring.redis.port=6379

接下來編寫redis相關操作，本文示例隻需要使用到get，set和delete操作，都是簡單的使用RedisTemplate，RedisService内容如下：

package com.dalaoyang.service;

import org.springframework.data.redis.core.RedisTemplate;
import org.springframework.data.redis.core.ValueOperations;
import org.springframework.data.redis.serializer.RedisSerializer;
import org.springframework.data.redis.serializer.StringRedisSerializer;
import org.springframework.stereotype.Service;

import javax.annotation.Resource;

@Service
public class RedisService {
    @Resource
    private RedisTemplate<String,Object> redisTemplate;

    public void set(String key, Object value) {
        //更改在redis裡面檢視key編碼問題
        RedisSerializer redisSerializer =new StringRedisSerializer();
        redisTemplate.setKeySerializer(redisSerializer);
        ValueOperations<String,Object> vo = redisTemplate.opsForValue();
        vo.set(key, value);
    }

    public Object get(String key) {
        ValueOperations<String,Object> vo = redisTemplate.opsForValue();
        return vo.get(key);
    }

    public Boolean delete(String key) {
        return redisTemplate.delete(key);
    }
}

LoginService隻是進行登入和登出操作，其中登入就是先判斷使用者名密碼是否正确，如果正确，那麼會生成一個字元串做為token（本文中使用uuid），并且做為傳回值，密碼錯誤則提示錯誤。登出實質就是删除redis中token的緩存，完整内容如下：

package com.dalaoyang.service;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Service;

import javax.servlet.http.HttpServletRequest;
import java.util.Objects;
import java.util.UUID;

@Service
public class LoginService {

    @Autowired
    private RedisService redisService;

    public String login(String username, String password) {
        if (Objects.equals("dalaoyang", username) &&
                Objects.equals("123", password)) {
            String token = UUID.randomUUID().toString();
            redisService.set(token, username);
            return "使用者：" + username + "登入成功，token是：" + token;
        } else {
            return "使用者名或密碼錯誤，登入失敗！";
        }
    }

    public String logout(HttpServletRequest request) {
        String token = request.getHeader("token");
        Boolean delete = redisService.delete(token);
        if (!delete) {
            return "登出失敗，請檢查是否登入！";
        }
        return "登出成功！";
    }
}

LoginController内容很簡單，隻是對LoginService的簡單調用，如下：

package com.dalaoyang.controller;


import com.dalaoyang.service.LoginService;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;

import javax.servlet.http.HttpServletRequest;

@RestController
@RequestMapping("/login")
public class LoginController {

    @Autowired
    private LoginService loginService;

    @GetMapping({"/", ""})
    public String login(String username, String password) {
        return loginService.login(username, password);
    }

    @GetMapping("/logout")
    public String logout(HttpServletRequest request) {
        return loginService.logout(request);
    }
}

TestController中隻是寫了一個簡單傳回字元串的接口，如下：

package com.dalaoyang.controller;

import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
@RequestMapping("/test")
public class TestController {

    @GetMapping({"/", ""})
    public String dosomething() {
        return "dosomething";
    }
}

接下來是攔截器，攔截器中需要取出header中的token，然後去redis中進行判斷，如果存在，則允許操作，則傳回提示資訊，内容如下：

package com.dalaoyang.interceptor;

import com.dalaoyang.service.RedisService;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.util.StringUtils;
import org.springframework.web.servlet.HandlerInterceptor;
import org.springframework.web.servlet.ModelAndView;

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.util.Objects;

public class AuthInterceptor implements HandlerInterceptor {

    @Autowired
    private RedisService redisService;

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        response.setCharacterEncoding("UTF-8");
        response.setContentType("text/html;charset=utf-8");
        String token = request.getHeader("token");
        if (StringUtils.isEmpty(token)) {
            response.getWriter().print("使用者未登入，請登入後操作！");
            return false;
        }
        Object loginStatus = redisService.get(token);
        if( Objects.isNull(loginStatus)){
            response.getWriter().print("token錯誤，請檢視！");
            return false;
        }
        return true;
    }

    @Override
    public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {

    }

    @Override
    public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {

    }
}

最後配置一下攔截器，由于攔截器中使用了RedisService，是以這裡需要使用如下方式注入攔截器，内容如下：

package com.dalaoyang.config;

import com.dalaoyang.interceptor.AuthInterceptor;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;

@Configuration
public class AuthConfig implements WebMvcConfigurer {

    @Bean
    public AuthInterceptor initAuthInterceptor(){
        return new AuthInterceptor();
    }

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(initAuthInterceptor()).addPathPatterns("/test/**").excludePathPatterns("/login/**");
    }

}

内容到這裡就已經完成了。

3.測試

可以使用如下步驟進行簡單測試：

首先在浏覽器通路： http://localhost:8888/test ，可以看到提示

使用者未登入，請登入後操作！

在使用錯誤密碼浏覽器通路： http://localhost:8888/login?username=dalaoyang&password=1 ，看到提示

使用者名或密碼錯誤，登入失敗！

在浏覽器使用使用者名密碼通路： http://localhost:8888/login?username=dalaoyang&password=123

使用者：dalaoyang登入成功，token是：02fdd2bd-1669-48b9-b51b-1e724f97688f

使用http工具，如postman等，将token放入header中，請求：，看到提示，請求成功。

dosomething

4.擴充點

本文隻是簡單對token使用做了一個樣例，并不适用于生産環境，有很多地方是可以擴充的，比如：

本文redis值存儲的隻是username，而且并沒有利用，實際情況可以存儲使用者資訊等。
可以擴充使用jwt進行token管理。
可以放行幾個固定的token用作内部接口調用等。
注意token的生成規則，不要有規律讓别人利用。

5.源碼

源碼位址：

https://gitee.com/dalaoyang/springboot_learn/tree/master/springboot2_redis_login

SpringBoot使用token簡單鑒權

1.簡介

2.具體實作

2.1 工程結構

2.2 代碼實作

3.測試

4.擴充點

5.源碼

繼續閱讀

關于Gradle配置的小結

Java小案例——随機數猜測随機數猜測

nginx location中斜線的位置的重要性

27 Best Free Eclipse Plug-ins for Java Developer to be ProductiveCode Quality PluginsText Editor PluginsDependency ManagementVersion Control Integration PluginsFramework Development Continuous Integration Related PluginsOther Utility Plugins

Java String.format方法的簡單使用

neo4j之cypher使用文檔

GitHub連夜封殺！這份阿裡 10W 字内部 Java 字面試手冊到底有多強？

spark/scala關于【資源檔案】加載方法概述外部檔案加載方案測試資源檔案打包入jar包中小結

mybatis_入門程式Mybatis入門

AOP程式設計_Android優雅權限架構(1)概念基礎，2021金三銀四前言正文大綱正文

Effective Java 8:通用程式設計

OOM三種類型

工廠模式-三種類型

【遞歸】高效率求2的n次幂

win10本地scala和spark安裝安裝scala安裝spark

scala (3) Function 和 Method