springsecurity和jwt关系(springsecurity jwt)

茫然知了 • 2023-09-23 15:15 • 生活指南 • 阅读 63

SpringSecurity+JWT认证流程解析

1、要想分析SpringSecurity的认证流程，就一定要先了解整个SpringSecurity的工作流程，我们才能最终进行一些自定义操作。

2、那就是使用username获取到数据库中用户信息并返回成UserDetail实体。

3、通过 JWT 配合 Spring Security OAuth2 使用的方式，可以避免每次请求都远程调度认证授权服务。资源服务器只需要从授权服务器验证一次，返回 JWT。

「干货」SpringBoot+SpringSecurity+Jwt权限认证-认证

首先SysUserController中有三个测试接口，第一个接口认证后即可访问，第二个接口需要登录的用户拥有ROLE_ADMIN角色，第三个接口需要用户拥有ROLE_USER角色。

基于formLogin的流程分析，SpringSecurity默认也是formLogin。

微服务获取jwttoken中的用户信息，两种方式，使用security上下文可以直接获取当前用户名和权限，另一种自定义拦截器获取额外信息。

SpringSecurity认证流程分析

要想分析SpringSecurity的认证流程，就一定要先了解整个SpringSecurity的工作流程，我们才能最终进行一些自定义操作。

那就是使用username获取到数据库中用户信息并返回成UserDetail实体。

在认证的过程中会调UserDetailsService来获取用户的信息，跟传进来的登录信息进行比对，如果认证通过会把UsernamePasswordAuthenticationToken 做一个标志，标记为已认证放进session中。

Spring Security 本质就是过滤器，我们可以实现自己的认证过滤器，然后加入到 Spring Security 中即可。认证过滤器核心实现流程：除去抛出异常的情况外， filterChain.doFilter(servletRequest， servletResponse)；是必须保证被执行的。

Spring Security默认使用 AffirmativeBased 实现 AccessDecisionManager 的 decide 方法来实现授权到此位置 authentication 当前用户信息，fl当前访问的资源路径及attributes当前资源路径的决策（即是否需要认证）。

然后把用户信息存入redis，而前端ajax请求的结果里则包含了token值。接下来定义token验证过滤器，这样子的话，如果前端发的请求是需要验证身份的，那就会走这个过滤器的校验流程。