基于JWT 和 Shiro 做接口权限认证

实现目的

• 用户登录后， 能通过令牌(token) 来访问一些需要登录才能访问的接口。
  

JWT 和 Shiro 是什么

JWT

JWT(json web Tokens)是一种基于JSON的开放标准((RFC 7519)，跨域身份验证办理方案。
构成

JSON Web Token由三部分构成，它们之间用圆点(.)毗连。这三部分分别是：

• Header
  
• Payload
  
• Signature
  

Header

header典范的由两部分构成：token的范例（“JWT”）和算法名称（比如：HMAC SHA256大概RSA等等）。
例如：

1. {
2.   "typ": "JWT",
3.   "alg": "HS256"
4. }

复制代码

然后，用Base64对这个JSON编码就得到JWT的第一部分eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
Payload

Payload 内里是 Token 的具体内容，这些内容内里有一些是标准字段，你也可以添加其它需要的内容。下面是标准字段：

• iss：Issuer，发行者
  
• sub：Subject，主题
  
• aud：Audience，观众
  
• exp：Expiration time，逾期时间
  
• nbf：Not before
  
• iat：Issued at，发行时间
  
• jti：JWT ID 比如下面这个 Payload ，用到了 iss 发行人，还有 exp 逾期时间。另外还有两个自界说的字段，一个是 name ，还有一个是 admin 。
  

1. {
2. "iss": "ninghao.net",
3. "exp": "1438955445",
4. "name": "wanghao",
5. "admin": true
6. }

复制代码

利用Base64对这个JSON编码就得到JWT的第二部分
eyJpc3MiOiJuaW5naGFvLm5ldCIsImV4cCI6IjE0Mzg5NTU0NDUiLCJuYW1lIjoid2FuZ2hhbyIsImFkbWluIjp0cnVlfQ Signature
Signature

JWT 的最后一部分是 Signature ，这部分内容有三个部分，先是用 Base64 编码 header.payload ，再用加密算法加密一下，加密的时候要放进去一个 Secret ，这个相当于是一个密码，这个密码秘密地存储在服务端，加密过程如下:
String encodedString = base64UrlEncode(header) + “.” + base64UrlEncode(payload);
String token = HMACSHA256(encodedString, ‘secret’);
这时候就得到了token的第三部分：
SwyHTEx_RQppr97g4J5lKXtabJecpejuef8AqKYMAJc
最后将这三个部分用.拼接起来就是我们的要发送给客户端的 Token：
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJuaW5naGFvLm5ldCIsImV4cCI6IjE0Mzg5NTU0NDUiLCJuYW1lIjoid2FuZ2hhbyIsImFkbWluIjp0cnVlfQ.SwyHTEx_RQppr97g4J5lKXtabJecpejuef8AqKYMAJc
Shiro

Shiro是一个安全框架， 重要用来做认证和授权，在这里我们用到的是授权，对URL进行拦截判断用户是否有权限访问。
整体实现思路

服务端通过JWT来生成token，发送给客户端。客户端接收到后，每次哀求都把token放在哀求头中，Shiro对没个接口进行拦截，拦截后取出哀求头中的token给JWT验证，验证通过则放行，不通过则报错无权限错误给客户端。
代码实现

创建一个spring boot 项目，pom.xml文件如下:

1. <?xml version="1.0" encoding="UTF-8"?>
2. <project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
3.          xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
4.     <modelVersion>4.0.0</modelVersion>
5.     <parent>
6.         <groupId>org.springframework.boot</groupId>
7.         <artifactId>spring-boot-starter-parent</artifactId>
8.         <version>2.1.7.RELEASE</version>
9.         <relativePath/> <!-- lookup parent from repository -->
10.     </parent>
11.     <groupId>com.domain</groupId>
12.     <artifactId>hello-jwt-shiro</artifactId>
13.     <version>0.0.1-SNAPSHOT</version>
14.     <name>hello-jwt-shiro</name>
15.     <description>Demo project for Spring Boot with JWT and Shrio</description>
17.     <properties>
18.         <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>
19.         <project.reporting.outputEncoding>UTF-8</project.reporting.outputEncoding>
20.         <java.version>1.8</java.version>
21.         <shiro.spring.version>1.4.0</shiro.spring.version>
22.         <jwt.auth0.version>3.2.0</jwt.auth0.version>
23.     </properties>
25.     <dependencies>
27.         <dependency>
28.             <groupId>org.springframework.boot</groupId>
29.             <artifactId>spring-boot-starter-web</artifactId>
30.         </dependency>
31.         <dependency>
32.             <groupId>org.springframework.boot</groupId>
33.             <artifactId>spring-boot-starter-test</artifactId>
34.             <scope>test</scope>
35.         </dependency>
36.         <!-- 使用redis做数据缓存，如果不需要可不依赖 -->
37.         <!--<dependency>-->
38.             <!--<groupId>org.springframework.boot</groupId>-->
39.             <!--<artifactId>spring-boot-starter-data-redis</artifactId>-->
40.         <!--</dependency>-->
41.         <dependency>
42.             <groupId>org.apache.shiro</groupId>
43.             <artifactId>shiro-spring-boot-web-starter</artifactId>
44.             <version>${shiro.spring.version}</version>
45.         </dependency>
46.         <dependency>
47.             <groupId>com.auth0</groupId>
48.             <artifactId>java-jwt</artifactId>
49.             <version>${jwt.auth0.version}</version>
50.         </dependency>
51.         <!--<dependency>-->
52.             <!--<groupId>org.apache.httpcomponents</groupId>-->
53.             <!--<artifactId>httpclient</artifactId>-->
54.             <!--<version>4.5.5</version>-->
55.         <!--</dependency>-->
56.         <!--<dependency>-->
57.             <!--<groupId>org.apache.commons</groupId>-->
58.             <!--<artifactId>commons-lang3</artifactId>-->
59.             <!--<version>3.7</version>-->
60.         <!--</dependency>-->
61.     </dependencies>
63.     <build>
64.         <plugins>
65.             <plugin>
66.                 <groupId>org.springframework.boot</groupId>
67.                 <artifactId>spring-boot-maven-plugin</artifactId>
68.             </plugin>
69.         </plugins>
70.     </build>
72. </project>

复制代码

Shiro配置文件

设置Token过滤器，以及要过滤的url。 所有需要的过滤的url，都会先颠末过滤器，过滤器校验通过，才会到controller。

1. @Configuration
2. public class ShiroConfiguration {
4.     @Bean("securityManager")
5.     public DefaultWebSecurityManager getManager(MyRealm realm) {
6.         DefaultWebSecurityManager manager = new DefaultWebSecurityManager();
7.         // 使用自己的realm
8.         manager.setRealm(realm);
10.         /*
11.          * 关闭shiro自带的session，详情见文档
12.          * http://shiro.apache.org/session-management.html#SessionManagement-StatelessApplications%28Sessionless%29
13.          */
14.         DefaultSubjectDAO subjectDAO = new DefaultSubjectDAO();
15.         DefaultSessionStorageEvaluator defaultSessionStorageEvaluator = new DefaultSessionStorageEvaluator();
16.         defaultSessionStorageEvaluator.setSessionStorageEnabled(false);
17.         subjectDAO.setSessionStorageEvaluator(defaultSessionStorageEvaluator);
18.         manager.setSubjectDAO(subjectDAO);
20.         return manager;
21.     }
23.     @Bean("shiroFilterFactoryBean")
24.     public ShiroFilterFactoryBean factory(DefaultWebSecurityManager securityManager) {
25.         ShiroFilterFactoryBean factoryBean = new ShiroFilterFactoryBean();
27.         // 添加自己的过滤器并且取名为jwt
28.         Map<String, Filter> filterMap = new HashMap<>();
29.         filterMap.put("token", new TokenAccessFilter());
30.         factoryBean.setFilters(filterMap);
32.         factoryBean.setSecurityManager(securityManager);
33.         factoryBean.setUnauthorizedUrl("/401");
35.         /*
36.          * 自定义url规则
37.          * http://shiro.apache.org/web.html#urls-
38.          */
39.         Map<String, String> filterRuleMap = new HashMap<>();
40.         // 所有请求通过我们自己的JWT Filter
41.         filterRuleMap.put("/login", "anon");
42.         filterRuleMap.put("/**", "token");
43.         // 访问401和404页面不通过我们的Filter
44.         filterRuleMap.put("/401", "anon");
45.         factoryBean.setFilterChainDefinitionMap(filterRuleMap);
46.         return factoryBean;
47.     }
49.     /**
50.      * 下面的代码是添加注解支持
51.      */
52.     @Bean
53.     @DependsOn("lifecycleBeanPostProcessor")
54.     public DefaultAdvisorAutoProxyCreator defaultAdvisorAutoProxyCreator() {
55.         DefaultAdvisorAutoProxyCreator defaultAdvisorAutoProxyCreator = new DefaultAdvisorAutoProxyCreator();
56.         // 强制使用cglib，防止重复代理和可能引起代理出错的问题
57.         // https://zhuanlan.zhihu.com/p/29161098
58.         defaultAdvisorAutoProxyCreator.setProxyTargetClass(true);
59.         return defaultAdvisorAutoProxyCreator;
60.     }
62.     @Bean
63.     public LifecycleBeanPostProcessor lifecycleBeanPostProcessor() {
64.         return new LifecycleBeanPostProcessor();
65.     }
67.     @Bean
68.     public AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor(DefaultWebSecurityManager securityManager) {
69.         AuthorizationAttributeSourceAdvisor advisor = new AuthorizationAttributeSourceAdvisor();
70.         advisor.setSecurityManager(securityManager);
71.         return advisor;
72.     }
73. }

复制代码

过滤器实现

获取客户端哀求头中的token，交给JWT校验比对，假如通过就放行,放行后会执行controller代码，不通过就返回 尚未登录。

1. public class TokenAccessFilter extends AccessControlFilter {
3.     @Override
4.     protected boolean isAccessAllowed(ServletRequest servletRequest, ServletResponse servletResponse, Object o) throws Exception {
5.         if(((HttpServletRequest) servletRequest).getMethod().equalsIgnoreCase("OPTIONS")) {
6.             return true;
7.         }
8.         return false;
9.     }
12.     @Override
13.     protected boolean onAccessDenied(ServletRequest servletRequest, ServletResponse servletResponse) throws BusinessException, IOException {
14.         String token = ((HttpServletRequest) servletRequest).getHeader("token");
15.         if (token==null || token.length()==0) {
16.             responseError(servletResponse,401,"尚未登录");
17.             return false;
18.         }
19.         String username = JWTUtil.getUsername(token);
21.         if (!JWTUtil.verify(token,username)) {
22.             responseError(servletResponse,401,"token 验证失败");
23.             return  false;
24.         }
26.         return true;
27.     }
29.     private void responseError(ServletResponse response,int code,String errorMsg) throws  IOException {
30.         HttpServletResponse httpServletResponse = (HttpServletResponse) response;
31.         httpServletResponse.setHeader("Access-Control-Allow-Origin","*");
32.         httpServletResponse.setHeader("Access-Control-Allow-Credentials", "true");
33.         httpServletResponse.setHeader("Access-Control-Allow-Methods", "*");                httpServletResponse.setHeader("Access-Control-Allow-Headers", "*");
34.         httpServletResponse.setContentType("application/json; charset=UTF-8");
35.         ResponseBean baseResponse = new ResponseBean(code,errorMsg,null);
36.         OutputStream os = httpServletResponse.getOutputStream();
37.         os.write(new ObjectMapper().writeValueAsString(baseResponse).getBytes("UTF-8"));
38.         os.flush();
39.         os.close();
40.     }
41. }

复制代码

token的生成和验证

1. public class JWTUtil {
3.     // 过期时间5分钟
4.     private static final long EXPIRE_TIME = 5*60*1000;
6.     private static final String SECRET = "XX#$%()(#*!()!KL<><MQLMNQNQJQK sdfkjsdrow32234545fdf>?N<:{LWPW";
8.     /**
9.      * 校验token是否正确
10.      * @param token 密钥
11.      * @param secret 用户的密码
12.      * @return 是否正确
13.      */
14.     public static boolean verify(String token, String username) {
15.         try {
16.             Algorithm algorithm = Algorithm.HMAC256(SECRET);
17.             JWTVerifier verifier = JWT.require(algorithm)
18.                     .withClaim("username", username)
19.                     .build();
20.             DecodedJWT jwt = verifier.verify(token);
21.             return true;
22.         } catch (Exception exception) {
23.             return false;
24.         }
25.     }
27.     /**
28.      * 获得token中的信息无需secret解密也能获得
29.      * @return token中包含的用户名
30.      */
31.     public static String getUsername(String token) {
32.         try {
33.             DecodedJWT jwt = JWT.decode(token);
34.             return jwt.getClaim("username").asString();
35.         } catch (JWTDecodeException e) {
36.             return null;
37.         }
38.     }
40.     /**
41.      * 生成签名,5min后过期
42.      * @param username 用户名
43.      * @param secret 用户的密码
44.      * @return 加密的token
45.      */
46.     public static String sign(String username) {
47.         try {
48.             Date date = new Date(System.currentTimeMillis()+EXPIRE_TIME);
49.             Algorithm algorithm = Algorithm.HMAC256(SECRET);
50.             // 附带username信息
51.             return JWT.create()
52.                     .withClaim("username", username)
53.                     .withExpiresAt(date)
54.                     .sign(algorithm);
55.         } catch (UnsupportedEncodingException e) {
56.             return null;
57.         }
58.     }
59. }

复制代码

自界说Realm

自界说的权限认证和身份认证逻辑。
doGetAuthorizationInfo 方法是权限认证。 doGetAuthenticationInfo 方法是身份认证
getSubject(request, response).login(token) 时就是交给这个自界说类处置惩罚。

1. @Service
2. public class MyRealm extends AuthorizingRealm {
4.     private static final Logger LOGGER = LogManager.getLogger(MyRealm.class);
6.     private UserService userService;
8.     @Autowired
9.     public void setUserService(UserService userService) {
10.         this.userService = userService;
11.     }
13. //    /**
14. //     * 大坑！，必须重写此方法，不然Shiro会报错
15. //     */
16. //    @Override
17. //    public boolean supports(AuthenticationToken token) {
18. //        return token instanceof JWTToken;
19. //    }
21. //    /**
22. //     * 只有当需要检测用户权限的时候才会调用此方法，例如checkRole,checkPermission之类的
23. //     */
24.     @Override
25.     protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
26.         String username = JWTUtil.getUsername(principals.toString());
27.         UserBean user = userService.getUser(username);
28.         SimpleAuthorizationInfo simpleAuthorizationInfo = new SimpleAuthorizationInfo();
29.         simpleAuthorizationInfo.addRole(user.getRole());
30.         Set<String> permission = new HashSet<>(Arrays.asList(user.getPermission().split(",")));
31.         simpleAuthorizationInfo.addStringPermissions(permission);
32.         return simpleAuthorizationInfo;
33.     }
35.     /**
36.      * 默认使用此方法进行用户名正确与否验证，错误抛出异常即可。
37.      */
38.     @Override
39.     protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken auth) throws AuthenticationException {
40.         String token = (String) auth.getCredentials();
41.         // 解密获得username，用于和数据库进行对比
42.         String username = JWTUtil.getUsername(token);
43.         if (username == null) {
44.             throw new AuthenticationException("token invalid");
45.         }
47.         UserBean userBean = userService.getUser(username);
48.         if (userBean == null) {
49.             throw new AuthenticationException("User didn't existed!");
50.         }
52.         if (! JWTUtil.verify(token, username)) {
53.             throw new AuthenticationException("Username or password error");
54.         }
56.         return new SimpleAuthenticationInfo(token, token, "my_realm");
57.     }
58. }

复制代码

项目完备代码

github.com/domain9065/…
今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

网络安全学习资源分享:

最后给各人分享我自己学习的一份全套的网络安全学习资料，希望对想学习 网络安全的小伙伴们有帮助！
零基础入门
对于从来没有接触过网络安全的同砚，我们帮你准备了详细的学习发展门路图。可以说是最科学最系统的学习门路，各人跟着这个大的方向学习准没问题。
【点击领取】网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

1.学习门路图

攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的门路图，假如你能学完它们，你去接私活完全没有问题。
2.视频教程

网上固然也有很多的学习资源，但根本上都残破不全的，这是我自己录的网安视频教程，上面门路图的每一个知识点，我都有配套的视频讲解。【点击领取视频教程】

技能文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技能要点，电子书也有200多本【点击领取技能文档】

（都打包成一块的了，不能逐一睁开，统共300多集）
3.技能文档和电子书

技能文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技能要点，电子书也有200多本【点击领取册本】

4.工具包、面试题和源码

“工欲善其事必先利其器”我为各人总结出了最受欢迎的几十款款黑客工具。涉及范围重要集中在 信息网络、Android黑客工具、自动化工具、网络垂纶等，感爱好的同砚不容错过。

最后就是我这几年整理的网安方面的面试题，假如你是要找网安方面的工作，它们绝对能帮你大忙。
这些题目都是各人在面试深信服、奇安信、腾讯大概其它大厂面试时经常遇到的，假如各人有好的题目大概好的看法欢迎分享。
参考解析：深信服官网、奇安信官网、Freebuf、csdn等
内容特点：条理清晰，含图像化表现更加易懂。
内容概要：包括 内网、操纵系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…
!(https://img-blog.csdnimg.cn/8de5365b55fd4a929e0cef43c14ce512.png)

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取
CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。