利用 Spring Boot 和 Spring Security 构建安全的 Web 应用：OAuth2、”记 ...

络腮胡菲菲  论坛元老 | 2025-3-12 10:15:27 | 显示全部楼层 | 阅读模式
打印 上一主题 下一主题
楼主

主题 1767|帖子 1767|积分 5301

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。

您需要 登录 才可以下载或查看，没有账号？立即注册

x
利用 Spring Boot 和 Spring Security 构建安全的 Web 应用：OAuth2、记住我与 JWT 集成指南

在当代 Web 应用中，安全性是至关紧张的。Spring Security 是一个功能强大且高度可定制的安全框架，能够帮助我们轻松实现认证、授权以及其他安全功能。本文将详细介绍怎样利用 Spring Boot 和 Spring Security 构建一个安全的 Web 应用，并扩展以下功能：

  • 利用 OAuth2 实现第三方登录（如 Google、GitHub）。
  • 设置“记住我”功能，提拔用户体验。
  • 集成 JWT（JSON Web Token）实现无状态认证，适合分布式系统。
1. 项目初始化

1.1 创建 Spring Boot 项目

利用 Spring Initializr 创建一个 Spring Boot 项目，选择以下依赖：


  • Spring Web
  • Spring Security
  • Thymeleaf（可选，用于前端模板）
  • Spring Boot DevTools（可选，用于开辟热加载）
1.2 项目布局

项目布局如下：
  1. src
  2. ├── main
  3. │   ├── java
  4. │   │   └── com
  5. │   │       └── example
  6. │   │           └── demo
  7. │   │               ├── DemoApplication.java
  8. │   │               ├── config
  9. │   │               │   └── SecurityConfig.java
  10. │   │               ├── controller
  11. │   │               │   └── HomeController.java
  12. │   │               ├── filter
  13. │   │               │   └── JwtRequestFilter.java
  14. │   │               ├── service
  15. │   │               │   └── CustomUserDetailsService.java
  16. │   │               └── util
  17. │   │                   └── JwtUtil.java
  18. │   └── resources
  19. │       ├── static
  20. │       ├── templates
  21. │       │   ├── home.html
  22. │       │   ├── login.html
  23. │       │   └── user.html
  24. │       └── application.properties
  25. └── test
  26.     └── java
  27.         └── com
  28.             └── example
  29.                 └── demo
  30.                     └── DemoApplicationTests.java
复制代码
2. 利用 OAuth2 实现第三方登录

OAuth2 是一种授权框架，允许用户通过第三方平台（如 Google、GitHub 等）登录你的应用。
2.1 添加依赖

在 pom.xml 中添加 OAuth2 依赖：
  1. <dependency>
  2.     <groupId>org.springframework.boot</groupId>
  3.     <artifactId>spring-boot-starter-oauth2-client</artifactId>
  4. </dependency>
复制代码
2.2 设置 OAuth2 客户端

在 application.properties 中设置 OAuth2 客户端信息。以 Google 为例：
  1. # Google OAuth2 配置
  2. spring.security.oauth2.client.registration.google.client-id=your-google-client-id
  3. spring.security.oauth2.client.registration.google.client-secret=your-google-client-secret
  4. spring.security.oauth2.client.registration.google.scope=profile,email
  6. # GitHub OAuth2 配置
  7. spring.security.oauth2.client.registration.github.client-id=your-github-client-id
  8. spring.security.oauth2.client.registration.github.client-secret=your-github-client-secret
  9. spring.security.oauth2.client.registration.github.scope=user:email
复制代码
2.3 设置 SecurityConfig

在 SecurityConfig 中启用 OAuth2 登录：
  1. @Bean
  2. public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
  3.     http
  4.         .authorizeHttpRequests((requests) -> requests
  5.             .requestMatchers("/", "/home").permitAll()
  6.             .anyRequest().authenticated()
  7.         )
  8.         .oauth2Login((oauth2) -> oauth2
  9.             .loginPage("/login") // 自定义登录页面
  10.             .defaultSuccessUrl("/home") // 登录成功后跳转的页面
  11.         )
  12.         .logout((logout) -> logout.permitAll());
  14.     return http.build();
  15. }
复制代码
2.4 创建控制器

在 HomeController 中添加一个端点，用于表现用户信息：
  1. @GetMapping("/user")
  2. public String user(Model model, OAuth2AuthenticationToken authentication) {
  3.     OAuth2User user = authentication.getPrincipal();
  4.     model.addAttribute("name", user.getAttribute("name"));
  5.     model.addAttribute("email", user.getAttribute("email"));
  6.     return "user";
  7. }
复制代码
2.5 创建用户页面

在 templates 目次下创建 user.html：
  1. <!DOCTYPE html>
  2. <html xmlns:th="http://www.thymeleaf.org">
  3. <head>
  4.     <title>User Info</title>
  5. </head>
  6. <body>
  7.     <h1>Welcome, <span th:text="${name}"></span>!</h1>
  8.     <p>Email: <span th:text="${email}"></span></p>
  9.     <a href="/logout">Logout</a>
  10. </body>
  11. </html>
复制代码
3. 设置“记住我”功能

“记住我”功能允许用户在关闭欣赏器后仍旧保持登录状态。
3.1 设置 SecurityConfig

在 SecurityConfig 中启用“记住我”功能：
  1. @Bean
  2. public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
  3.     http
  4.         .rememberMe((remember) -> remember
  5.             .tokenValiditySeconds(86400) // 记住我有效期为 1 天
  6.             .key("uniqueAndSecret") // 密钥
  7.         );
  9.     return http.build();
  10. }
复制代码
3.2 修改登录页面

在 login.html 中添加“记住我”复选框：
  1. <div>
  2.     <label>
  3.         <input type="checkbox" name="remember-me"/> Remember me
  4.     </label>
  5. </div>
复制代码
4. 集成 JWT 实现无状态认证

JWT（JSON Web Token）是一种无状态认证机制，适合分布式系统。
4.1 添加依赖

在 pom.xml 中添加 JWT 依赖：
  1. <dependency>
  2.     <groupId>io.jsonwebtoken</groupId>
  3.     <artifactId>jjwt</artifactId>
  4.     <version>0.9.1</version>
  5. </dependency>
复制代码
4.2 创建 JWT 工具类

在 util 包下创建 JwtUtil.java：
  1. package com.example.demo.util;
  3. import io.jsonwebtoken.Claims;
  4. import io.jsonwebtoken.Jwts;
  5. import io.jsonwebtoken.SignatureAlgorithm;
  6. import org.springframework.security.core.userdetails.UserDetails;
  7. import org.springframework.stereotype.Component;
  9. import java.util.Date;
  10. import java.util.HashMap;
  11. import java.util.Map;
  12. import java.util.function.Function;
  14. @Component
  15. public class JwtUtil {
  17.     private String SECRET_KEY = "secret";
  19.     public String extractUsername(String token) {
  20.         return extractClaim(token, Claims::getSubject);
  21.     }
  23.     public Date extractExpiration(String token) {
  24.         return extractClaim(token, Claims::getExpiration);
  25.     }
  27.     public <T> T extractClaim(String token, Function<Claims, T> claimsResolver) {
  28.         final Claims claims = extractAllClaims(token);
  29.         return claimsResolver.apply(claims);
  30.     }
  32.     private Claims extractAllClaims(String token) {
  33.         return Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token).getBody();
  34.     }
  36.     private Boolean isTokenExpired(String token) {
  37.         return extractExpiration(token).before(new Date());
  38.     }
  40.     public String generateToken(UserDetails userDetails) {
  41.         Map<String, Object> claims = new HashMap<>();
  42.         return createToken(claims, userDetails.getUsername());
  43.     }
  45.     private String createToken(Map<String, Object> claims, String subject) {
  46.         return Jwts.builder()
  47.                 .setClaims(claims)
  48.                 .setSubject(subject)
  49.                 .setIssuedAt(new Date(System.currentTimeMillis()))
  50.                 .setExpiration(new Date(System.currentTimeMillis() + 1000 * 60 * 60 * 10)) // 10 小时有效期
  51.                 .signWith(SignatureAlgorithm.HS256, SECRET_KEY)
  52.                 .compact();
  53.     }
  55.     public Boolean validateToken(String token, UserDetails userDetails) {
  56.         final String username = extractUsername(token);
  57.         return (username.equals(userDetails.getUsername()) && !isTokenExpired(token));
  58.     }
  59. }
复制代码
4.3 创建 JWT 过滤器

在 filter 包下创建 JwtRequestFilter.java：
  1. package com.example.demo.filter;
  3. import com.example.demo.util.JwtUtil;
  4. import org.springframework.beans.factory.annotation.Autowired;
  5. import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
  6. import org.springframework.security.core.context.SecurityContextHolder;
  7. import org.springframework.security.core.userdetails.UserDetails;
  8. import org.springframework.security.core.userdetails.UserDetailsService;
  9. import org.springframework.security.web.authentication.WebAuthenticationDetailsSource;
  10. import org.springframework.stereotype.Component;
  11. import org.springframework.web.filter.OncePerRequestFilter;
  13. import javax.servlet.FilterChain;
  14. import javax.servlet.ServletException;
  15. import javax.servlet.http.HttpServletRequest;
  16. import javax.servlet.http.HttpServletResponse;
  17. import java.io.IOException;
  19. @Component
  20. public class JwtRequestFilter extends OncePerRequestFilter {
  22.     @Autowired
  23.     private UserDetailsService userDetailsService;
  25.     @Autowired
  26.     private JwtUtil jwtUtil;
  28.     @Override
  29.     protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain)
  30.             throws ServletException, IOException {
  32.         final String authorizationHeader = request.getHeader("Authorization");
  34.         String username = null;
  35.         String jwt = null;
  37.         if (authorizationHeader != null && authorizationHeader.startsWith("Bearer ")) {
  38.             jwt = authorizationHeader.substring(7);
  39.             username = jwtUtil.extractUsername(jwt);
  40.         }
  42.         if (username != null && SecurityContextHolder.getContext().getAuthentication() == null) {
  43.             UserDetails userDetails = this.userDetailsService.loadUserByUsername(username);
  44.             if (jwtUtil.validateToken(jwt, userDetails)) {
  45.                 UsernamePasswordAuthenticationToken authenticationToken = new UsernamePasswordAuthenticationToken(
  46.                         userDetails, null, userDetails.getAuthorities());
  47.                 authenticationToken.setDetails(new WebAuthenticationDetailsSource().buildDetails(request));
  48.                 SecurityContextHolder.getContext().setAuthentication(authenticationToken);
  49.             }
  50.         }
  51.         chain.doFilter(request, response);
  52.     }
  53. }
复制代码
4.4 设置 SecurityConfig

在 SecurityConfig 中设置 JWT 过滤器：
  1. @Bean
  2. public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
  3.     http
  4.         .addFilterBefore(jwtRequestFilter, UsernamePasswordAuthenticationFilter.class)
  5.         .authorizeHttpRequests((requests) -> requests
  6.             .requestMatchers("/authenticate").permitAll()
  7.             .anyRequest().authenticated()
  8.         )
  9.         .sessionManagement((session) -> session
  10.             .sessionCreationPolicy(SessionCreationPolicy.STATELESS) // 无状态会话
  11.         );
  13.     return http.build();
  14. }
复制代码
4.5 创建认证端点

在 controller 包下创建 AuthController.java：
  1. package com.example.demo.controller;
  3. import com.example.demo.util.JwtUtil;
  4. import org.springframework.beans.factory.annotation.Autowired;
  5. import org.springframework.security.authentication.AuthenticationManager;
  6. import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
  7. import org.springframework.security.core.userdetails.UserDetails;
  8. import org.springframework.security.core.userdetails.UserDetailsService;
  9. import org.springframework.web.bind.annotation.PostMapping;
  10. import org.springframework.web.bind.annotation.RequestBody;
  11. import org.springframework.web.bind.annotation.RestController;
  13. @RestController
  14. public class AuthController {
  16.     @Autowired
  17.     private AuthenticationManager authenticationManager;
  19.     @Autowired
  20.     private UserDetailsService userDetailsService;
  22.     @Autowired
  23.     private JwtUtil jwtUtil;
  25.     @PostMapping("/authenticate")
  26.     public String createAuthenticationToken(@RequestBody AuthenticationRequest authenticationRequest) throws Exception {
  27.         authenticationManager.authenticate(
  28.             new UsernamePasswordAuthenticationToken(authenticationRequest.getUsername(), authenticationRequest.getPassword())
  29.         );
  31.         final UserDetails userDetails = userDetailsService.loadUserByUsername(authenticationRequest.getUsername());
  32.         final String jwt = jwtUtil.generateToken(userDetails);
  34.         return jwt;
  35.     }
  36. }
复制代码
5. 总结

通过本文的步调，你已经成功扩展了 Spring Security 项目：

  • 利用 OAuth2 实现了第三方登录。
  • 设置了“记住我”功能。
  • 集成了 JWT 实现无状态认证。
这些功能可以显著提拔应用的安全性和用户体验。你可以根据现实需求进一步优化和扩展。希望这篇博客对你有所帮助！

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。
回复

使用道具 举报

0 个回复

倒序浏览
返回列表

快速回复

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 or 立即注册

本版积分规则

络腮胡菲菲

论坛元老
这个人很懒什么都没写!

楼主热帖

标签云

AI 运维 CIO 存储 服务器
微信订阅号
微信服务号
微信客服
小程序
H5
关于我们 商务合作 网站地图
©Copyright 2022-2024 杭州祥升科技有限公司 版权所有 浙ICP备20004199号
快速回复 返回顶部 返回列表