spring web jwt

JWT (JSON Web Token) 是一种基于 JSON 的开放标准 (RFC 7519)，用于在通信双方之间传递信息。Spring Web 提供了一个简单的方式来使用 JWT 进行身份验证。

首先，需要添加 `spring-security-jwt` 依赖：

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt</artifactId>
    <version>0.9.1</version>
</dependency>

然后，需要创建一个 JWT 工具类来生成和解析 JWT：

@Component
public class JwtTokenUtil {

    private static final String SECRET = "mySecret";
    private static final long EXPIRATION_TIME = 864_000_000; // 10 days
    private static final String TOKEN_PREFIX = "Bearer ";
    private static final String HEADER_STRING = "Authorization";

    public String generateToken(String username) {
        Date expirationDate = new Date(System.currentTimeMillis() + EXPIRATION_TIME);
        return Jwts.builder()
                .setSubject(username)
                .setExpiration(expirationDate)
                .signWith(SignatureAlgorithm.HS512, SECRET)
                .compact();
    }

    public Authentication getAuthentication(HttpServletRequest request) {
        String token = request.getHeader(HEADER_STRING);
        if (token != null) {
            String username = Jwts.parser()
                    .setSigningKey(SECRET)
                    .parseClaimsJws(token.replace(TOKEN_PREFIX, ""))
                    .getBody()
                    .getSubject();
            if (username != null) {
                return new UsernamePasswordAuthenticationToken(username, null, new ArrayList<>());
            }
            return null;
        }
        return null;
    }
}

其中，`generateToken` 方法用于生成 JWT，`getAuthentication` 方法用于从请求中获取 JWT 并解析出用户信息。

然后，需要创建一个过滤器来验证 JWT：

@Component
public class JwtAuthenticationFilter extends OncePerRequestFilter {

    @Autowired
    private JwtTokenUtil jwtTokenUtil;

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) throws ServletException, IOException {
        Authentication authentication = jwtTokenUtil.getAuthentication(request);
        SecurityContextHolder.getContext().setAuthentication(authentication);
        chain.doFilter(request, response);
    }
}

最后，需要在 Spring Security 配置中添加该过滤器：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private JwtAuthenticationFilter jwtAuthenticationFilter;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
                .authorizeRequests()
                .antMatchers("/api/authenticate").permitAll()
                .anyRequest().authenticated()
                .and()
                .addFilterBefore(jwtAuthenticationFilter, UsernamePasswordAuthenticationFilter.class);
    }
}

这样就可以使用 JWT 进行身份验证了。当用户登录成功后，可以生成 JWT 并返回给客户端；当客户端发送请求时，需要在请求头中添加 `Authorization: Bearer <token>`，服务器会从请求头中获取 JWT 并进行验证。如果验证成功，就将用户信息保存到 SecurityContext 中，以便后续使用。