REST API 获取管理员 token 后端Java怎么写

RESTful API获取管理员token通常涉及客户端发送请求到服务器，请求包含身份验证信息，例如用户名和密码。服务器验证这些凭据后返回一个访问令牌（JWT - JSON Web Token）。在Java后端实现这个过程，可以按照以下步骤：

1. **设置API控制器**:
创建一个用于处理用户认证的Controller，比如`AuthenticationController.java`。

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.http.ResponseEntity;
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RequestBody;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class AuthenticationController {

    @Autowired
    private UserService userService; // 假设UserService有登录逻辑

    @PostMapping("/login")
    public ResponseEntity<?> authenticate(@RequestBody LoginRequest loginRequest) {
        String username = loginRequest.getUsername();
        String password = loginRequest.getPassword();

        // 在这里检查用户名密码是否匹配，并验证权限
        User admin = userService.authenticateAdmin(username, password);
        if (admin != null) {
            // 如果成功，创建JWT并将其放入响应头
            String jwt = generateJwt(admin.getId(), "ADMIN"); // 使用管理员角色标识
            SecurityContextHolder.getContext().setAuthentication(
                    new UsernamePasswordAuthenticationToken(admin, "", Collections.singleton("ADMIN"))
            );
            return ResponseEntity.ok().header("Authorization", "Bearer " + jwt);
        } else {
            return ResponseEntity.unauthorized().build(); // 返回401未授权
        }
    }

    private String generateJwt(Long userId, String role) {
        // 使用公钥/私钥对生成JWT
        // 这里假设我们有一个自定义的JWT工具类，如JwtUtil
        String secretKey = "your-secret-key";
        Claims claims = Jwts.builder()
                .setId(userId)
                .setSubject(userId.toString())
                .claim("role", role)
                .signWith(SignatureAlgorithm.HS512, secretKey.getBytes())
                .build();
        return Jwts.encode(claims, secretKey).compact();
    }
}

2. **JWT管理**:
需要维护一个安全的秘钥库来加密解密JWT。同时，确保刷新令牌的有效期。

3. **安全性注意事项**:
- 保护JWT Secret Key（这里示例中的secretKey），防止泄露。
- 对于生产环境，应考虑使用HTTPS保证传输安全。