springbootsecurity整合jwt

### 关于在Spring Boot Security中集成JWT

为了实现基于JSON Web Tokens (JWT)的身份验证，在Spring Boot应用程序中的安全配置通常涉及创建自定义过滤器来处理令牌解析和身份验证逻辑。虽然Spring Security提供了基础的`Filter`接口以及像`AbstractPreAuthenticatedProcessingFilter`这样的抽象类作为起点[^1]，但具体到JWT的支持并没有现成的标准组件。

#### 创建自定义TokenAuthenticationFilter
可以继承`OncePerRequestFilter`并重写其方法以适应特定需求：

public class JwtAuthenticationFilter extends OncePerRequestFilter {

    @Override
    protected void doFilterInternal(HttpServletRequest request,
                                    HttpServletResponse response,
                                    FilterChain filterChain)
            throws ServletException, IOException {
        try {
            String jwt = getJwtFromRequest(request);
            
            if (jwt != null && tokenProvider.validateToken(jwt)) {
                Authentication auth = tokenProvider.getAuthentication(jwt);

                SecurityContextHolder.getContext().setAuthentication(auth);
            }
        } catch (Exception ex) {
            logger.error("Could not set user authentication in security context", ex);
        }

        filterChain.doFilter(request, response);
    }

    private String getJwtFromRequest(HttpServletRequest request){
        // Implementation details...
    }
}

此代码片段展示了如何通过扩展`OncePerRequestFilter`来自定义一个用于处理JWT认证请求的过滤器。该过滤器会尝试从HTTP头或其他地方提取JWT，并利用预设的服务(`tokenProvider`)对其进行有效性检查；如果成功，则设置当前线程的安全上下文中相应的认证对象。

#### 配置SecurityConfig
接着需要调整应用的安全策略以便包含上述定制化的过滤器:

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private JwtAuthenticationEntryPoint unauthorizedHandler;

    @Bean
    public JwtAuthenticationFilter jwtAuthenticationFilter() {
        return new JwtAuthenticationFilter();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
            .exceptionHandling().authenticationEntryPoint(unauthorizedHandler).and()
            .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS).and()
            .authorizeRequests()
            .antMatchers("/api/auth/**").permitAll()
            .anyRequest().authenticated();

        // Add our custom JWT security filter
        http.addFilterBefore(jwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);
        
        // Disable page caching
        http.headers().cacheControl();
    }
    
    // Other configurations...
}

这段配置禁用了CSRF防护因为API通常是无状态(stateless)，并且指定了当未授权访问发生时应调用哪个入口点(entry point)。此外还设置了会话管理政策为不创建新的会话(session creation policy as stateless), 并允许某些路径无需认证即可访问(如登录端口).

对于更深入的学习资源推荐参加有关使用OAuth2加上JWT保护Spring REST API 的网络研讨会[^2], 或者可以直接查看官方文档获取最新指导和支持.