Java服务端认证与授权：OAuth2.0与JWT的集成

原创

省赚客开发者 2024-09-02 15:18:52 ©著作权

©著作权归作者所有：来自51CTO博客作者省赚客开发者的原创作品，请联系作者获取转载授权，否则将追究法律责任

Java服务端认证与授权：OAuth2.0与JWT的集成

大家好，我是微赚淘客返利系统3.0的小编，是个冬天不穿秋裤，天冷也要风度的程序猿！

在现代的Web应用和服务端开发中，认证与授权是保障系统安全的重要环节。OAuth 2.0和JSON Web Tokens（JWT）是两种广泛使用的开放标准，它们共同为构建安全的应用提供了强大的支持。本文将介绍OAuth 2.0和JWT的基本概念，以及如何在Java服务端集成这两种技术。

OAuth 2.0 简介

OAuth 2.0是一个行业标准的协议，用于授权。它允许用户提供一个令牌（token），而不是用户名和密码，来访问他们存放在其他服务提供者上的信息。

JWT 简介

JSON Web Tokens是一种开放标准（RFC 7519），用于在网络应用环境间安全地传递声明。JWT是一个紧凑、URL安全的方式，用于在双方之间传递信息。

OAuth 2.0 与 JWT 的集成

在许多应用场景中，OAuth 2.0用于认证，而JWT用于生成访问令牌，以在客户端和服务器之间安全传递用户身份。

集成步骤

定义认证服务器：创建一个认证服务器，用于处理认证请求，并发放访问令牌。
使用Spring Security OAuth：在Spring应用中，使用Spring Security OAuth框架来简化OAuth 2.0的集成。
生成JWT：在认证成功后，使用用户信息生成JWT。
验证JWT：在服务端，验证传入的JWT以确认用户身份。

示例代码

以下是在Java服务端使用Spring Security OAuth和JWT进行认证与授权的示例。

1. 配置认证服务器

package cn.juwatech.config;

import org.springframework.context.annotation.Configuration;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.oauth2.config.annotation.web.configuration.EnableAuthorizationServer;
import org.springframework.security.oauth2.config.annotation.web.configuration.AuthorizationServerConfigurerAdapter;
import org.springframework.security.oauth2.config.annotation.web.configurers.AuthorizationServerEndpointsConfigurer;

@Configuration
@EnableAuthorizationServer
public class AuthServerConfig extends AuthorizationServerConfigurerAdapter {

    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) {
        endpoints
            .authenticationManager(authenticationManager)
            .tokenStore(tokenStore());
    }

    private AuthenticationManager authenticationManager;
    private TokenStore tokenStore;
}

2. 生成JWT

package cn.juwatech.service;

import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import java.util.Date;

public class JwtTokenProvider {

    private String secretKey = "your_secret_key";

    public String generateToken(String username) {
        long expirationTime = 1000 * 60 * 60; // 1 hour
        return Jwts.builder()
            .setSubject(username)
            .setIssuedAt(new Date())
            .setExpiration(new Date(System.currentTimeMillis() + expirationTime))
            .signWith(SignatureAlgorithm.HS512, secretKey)
            .compact();
    }
}

3. 验证JWT

package cn.juwatech.filter;

import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureException;

public class JwtRequestFilter extends OncePerRequestFilter {

    private JwtTokenProvider jwtTokenProvider;

    public JwtRequestFilter(JwtTokenProvider jwtTokenProvider) {
        this.jwtTokenProvider = jwtTokenProvider;
    }

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain)
            throws ServletException, IOException {
        final String authorizationHeader = request.getHeader("Authorization");

        String username = null;
        String jwt = null;

        if (authorizationHeader != null && authorizationHeader.startsWith("Bearer ")) {
            jwt = authorizationHeader.substring(7);
            try {
                username = jwtTokenProvider.validateToken(jwt);
            } catch (SignatureException ex) {
                throw new RuntimeException("Invalid JWT signature.");
            }
        }

        if (username != null) {
            request.setAttribute("username", username);
        }

        chain.doFilter(request, response);
    }
}