一、JWT 實作微服務鑒權
JWT一般用于實作單點登錄，單點登錄：如騰訊下的游戲有很多，包括lol，飛車等，在qq游戲對戰平臺上登錄一次，然后這些不同的平臺都可以直接登陸進去了，這就是單點登錄的使用場景，JWT就是實作單點登錄的一種技術，其他的還有oath2等，
1 什么是微服務鑒權
我們之前已經搭建過了網關，使用網關在網關系統中比較適合進行權限校驗，
那么我們可以采用JWT的方式來實作鑒權校驗，
2.代碼實作
思路分析
1. 用戶進入網關開始登陸，網關過濾器進行判斷，如果是登錄，則路由到后臺管理微服務進行登錄
2. 用戶登錄成功，后臺管理微服務簽發JWT TOKEN資訊回傳給用戶
3. 用戶再次進入網關開始訪問，網關過濾器接收用戶攜帶的TOKEN
4. 網關過濾器決議TOKEN ，判斷是否有權限，如果有，則放行，如果沒有則回傳未認證錯誤
簽發token
（1）創建類： JwtUtil
package com.mye.nacosprovider.jwt;
import com.alibaba.fastjson.JSON;
import io.jsonwebtoken.Claims;
import io.jsonwebtoken.JwtBuilder;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import org.springframework.stereotype.Component;
import javax.crypto.SecretKey;
import javax.crypto.spec.SecretKeySpec;
import java.util.Base64;
import java.util.Date;
import java.util.*;
@Component
public class JwtUtil {
//加密 解密時的密鑰 用來生成key
public static final String JWT_KEY = "IT1995";
/**
* 生成加密后的秘鑰 secretKey
* @return
*/
public static SecretKey generalKey() {
byte[] encodedKey = Base64.getDecoder().decode(JwtUtil.JWT_KEY);
SecretKey key = new SecretKeySpec(encodedKey, 0, encodedKey.length, "AES");
return key;
}
public static String createJWT(String id, String subject, long ttlMillis){
SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256; //指定簽名的時候使用的簽名演算法，也就是header那部分，jjwt已經將這部分內容封裝好了，
long nowMillis = System.currentTimeMillis();//生成JWT的時間
Date now = new Date(nowMillis);
SecretKey key = generalKey();//生成簽名的時候使用的秘鑰secret,這個方法本地封裝了的，一般可以從本地組態檔中讀取，切記這個秘鑰不能外露哦，它就是你服務端的私鑰，在任何場景都不應該流露出去，一旦客戶端得知這個secret, 那就意味著客戶端是可以自我簽發jwt了，
JwtBuilder builder = Jwts.builder() //這里其實就是new一個JwtBuilder，設定jwt的body
// .setClaims(claims) //如果有私有宣告，一定要先設定這個自己創建的私有的宣告，這個是給builder的claim賦值，一旦寫在標準的宣告賦值之后，就是覆寫了那些標準的宣告的
.setId(id) //設定jti(JWT ID)：是JWT的唯一標識，根據業務需要，這個可以設定為一個不重復的值，主要用來作為一次性token,從而回避重放攻擊，
.setIssuedAt(now) //iat: jwt的簽發時間
.setSubject(subject) //sub(Subject)：代表這個JWT的主體，即它的所有人，這個是一個json格式的字串，可以存放什么userid，roldid之類的，作為什么用戶的唯一標志，
.signWith(signatureAlgorithm, key);//設定簽名使用的簽名演算法和簽名使用的秘鑰
if (ttlMillis >= 0) {
long expMillis = nowMillis + ttlMillis;
Date exp = new Date(expMillis);
builder.setExpiration(exp); //設定過期時間
}
return builder.compact(); //就開始壓縮為xxxxxxxxxxxxxx.xxxxxxxxxxxxxxx.xxxxxxxxxxxxx這樣的jwt
}
public static Claims parseJWT(String jwt){
SecretKey key = generalKey(); //簽名秘鑰，和生成的簽名的秘鑰一模一樣
Claims claims = Jwts.parser() //得到DefaultJwtParser
.setSigningKey(key) //設定簽名的秘鑰
.parseClaimsJws(jwt).getBody();//設定需要決議的jwt
return claims;
}
public static void main(String[] args){
Map<String, Object> user = new HashMap<>();
user.put("username", "it1995");
user.put("password", "123456");
String jwt = createJWT(UUID.randomUUID().toString(), JSON.toJSONString(user), 3600 * 24);
System.out.println("加密后：" + jwt);
//解密
Claims claims = parseJWT(jwt);
System.out.println("解密后：" + claims.getSubject());
}
}
(2)修改login方法,用戶登錄成功 則 簽發TOKEN
@PostMapping("/login")
public String login(@RequestBody User user){
//在redis中根據用戶名查找密碼
String password = redisTemplate.opsForValue().get(user.getUsername());
System.out.println(password);
boolean checkResult = BCrypt.checkpw(user.getPassword(), password);
if (checkResult){
Map<String, String> info = new HashMap<>();
info.put("username", user.getUsername());
String token = JwtUtil.createJWT(UUID.randomUUID().toString(), user.getUsername(), 3600L*1000);
info.put("token",token);
return JSONUtil.toJsonStr(info);
}else {
return "登錄失敗";
}
}
(3) 測驗
網關過濾器驗證token
（1）網關模塊添加依賴
<!--鑒權-->
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt</artifactId>
<version>0.9.0</version>
</dependency>
（2）創建JWTUtil類
package com.mye.nacosprovider.jwt;
import com.alibaba.fastjson.JSON;
import io.jsonwebtoken.Claims;
import io.jsonwebtoken.JwtBuilder;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import org.springframework.stereotype.Component;
import javax.crypto.SecretKey;
import javax.crypto.spec.SecretKeySpec;
import java.util.Base64;
import java.util.Date;
import java.util.*;
@Component
public class JwtUtil {
//加密 解密時的密鑰 用來生成key
public static final String JWT_KEY = "IT1995";
/**
* 生成加密后的秘鑰 secretKey
* @return
*/
public static SecretKey generalKey() {
byte[] encodedKey = Base64.getDecoder().decode(JwtUtil.JWT_KEY);
SecretKey key = new SecretKeySpec(encodedKey, 0, encodedKey.length, "AES");
return key;
}
public static String createJWT(String id, String subject, long ttlMillis){
SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256; //指定簽名的時候使用的簽名演算法，也就是header那部分，jjwt已經將這部分內容封裝好了，
long nowMillis = System.currentTimeMillis();//生成JWT的時間
Date now = new Date(nowMillis);
SecretKey key = generalKey();//生成簽名的時候使用的秘鑰secret,這個方法本地封裝了的，一般可以從本地組態檔中讀取，切記這個秘鑰不能外露哦，它就是你服務端的私鑰，在任何場景都不應該流露出去，一旦客戶端得知這個secret, 那就意味著客戶端是可以自我簽發jwt了，
JwtBuilder builder = Jwts.builder() //這里其實就是new一個JwtBuilder，設定jwt的body
// .setClaims(claims) //如果有私有宣告，一定要先設定這個自己創建的私有的宣告，這個是給builder的claim賦值，一旦寫在標準的宣告賦值之后，就是覆寫了那些標準的宣告的
.setId(id) //設定jti(JWT ID)：是JWT的唯一標識，根據業務需要，這個可以設定為一個不重復的值，主要用來作為一次性token,從而回避重放攻擊，
.setIssuedAt(now) //iat: jwt的簽發時間
.setSubject(subject) //sub(Subject)：代表這個JWT的主體，即它的所有人，這個是一個json格式的字串，可以存放什么userid，roldid之類的，作為什么用戶的唯一標志，
.signWith(signatureAlgorithm, key);//設定簽名使用的簽名演算法和簽名使用的秘鑰
if (ttlMillis >= 0) {
long expMillis = nowMillis + ttlMillis;
Date exp = new Date(expMillis);
builder.setExpiration(exp); //設定過期時間
}
return builder.compact(); //就開始壓縮為xxxxxxxxxxxxxx.xxxxxxxxxxxxxxx.xxxxxxxxxxxxx這樣的jwt
}
public static Claims parseJWT(String jwt){
SecretKey key = generalKey(); //簽名秘鑰，和生成的簽名的秘鑰一模一樣
Claims claims = Jwts.parser() //得到DefaultJwtParser
.setSigningKey(key) //設定簽名的秘鑰
.parseClaimsJws(jwt).getBody();//設定需要決議的jwt
return claims;
}
public static void main(String[] args){
Map<String, Object> user = new HashMap<>();
user.put("username", "it1995");
user.put("password", "123456");
String jwt = createJWT(UUID.randomUUID().toString(), JSON.toJSONString(user), 3600 * 24);
System.out.println("加密后：" + jwt);
//解密
Claims claims = parseJWT(jwt);
System.out.println("解密后：" + claims.getSubject());
}
}
（3）創建過濾器，用于token驗證
/**
* 鑒權過濾器 驗證token
*/
@Component
public class AuthorizeFilter implements GlobalFilter, Ordered {
private static final String AUTHORIZE_TOKEN = "token";
@Override
public Mono<Void> filter(ServerWebExchange exchange, GatewayFilterChain chain) {
//1. 獲取請求
ServerHttpRequest request = exchange.getRequest();
//2. 則獲取回應
ServerHttpResponse response = exchange.getResponse();
//3. 如果是登錄請求則放行
if (request.getURI().getPath().contains("/admin/login")) {
return chain.filter(exchange);
}
//4. 獲取請求頭
HttpHeaders headers = request.getHeaders();
//5. 請求頭中獲取令牌
String token = headers.getFirst(AUTHORIZE_TOKEN);
//6. 判斷請求頭中是否有令牌
if (StringUtils.isEmpty(token)) {
//7. 回應中放入回傳的狀態嗎, 沒有權限訪問
response.setStatusCode(HttpStatus.UNAUTHORIZED);
//8. 回傳
return response.setComplete();
}
//9. 如果請求頭中有令牌則決議令牌
try {
JwtUtil.parseJWT(token);
} catch (Exception e) {
e.printStackTrace();
//10. 決議jwt令牌出錯, 說明令牌過期或者偽造等不合法情況出現
response.setStatusCode(HttpStatus.UNAUTHORIZED);
//11. 回傳
return response.setComplete();
}
//12. 放行
return chain.filter(exchange);
}
@Override
public int getOrder() {
return 0;
}
}
（4）測驗：
首先進行登錄測驗
在進行鑒權測驗
轉載請註明出處，本文鏈接：https://www.uj5u.com/qita/348510.html
標籤：其他
上一篇：爬蟲-自動化完成上百題目