Java應(yīng)用開發(fā)（中、高級(jí)）課件 任務(wù)2.3 實(shí)現(xiàn)API的Toen認(rèn)證

任務(wù)三

實(shí)現(xiàn)API的Token認(rèn)證03

任務(wù)描述本任務(wù)將通過(guò)SpringSecurity和JsonWebToken（JWT）完成接口的權(quán)限控制,即在未登錄前無(wú)法訪問(wèn)受保護(hù)的接口，成功登錄獲取到token后，能夠通過(guò)token訪問(wèn)受保護(hù)的接口。

知識(shí)準(zhǔn)備1SpringSecurity框架SpringSecurity框架是一個(gè)功能強(qiáng)大且高度可定制的身份驗(yàn)證和訪問(wèn)控制框架。它是用于保護(hù)基于Spring的應(yīng)用程序的實(shí)際標(biāo)準(zhǔn)。SpringSecurity致力于為Java應(yīng)用程序提供身份驗(yàn)證和授權(quán)。SpringBoot對(duì)于SpringSecurity提供了自動(dòng)化配置方案，可以零配置使用SpringSecurity。

知識(shí)準(zhǔn)備2數(shù)據(jù)庫(kù)連接池?cái)?shù)據(jù)庫(kù)連接池負(fù)責(zé)分配、管理和釋放數(shù)據(jù)庫(kù)連接，它允許應(yīng)用程序重復(fù)使用一個(gè)現(xiàn)有的數(shù)據(jù)庫(kù)連接，而不是再重新建立一個(gè)；在項(xiàng)目中，一般情況下訪問(wèn)數(shù)據(jù)庫(kù)，會(huì)創(chuàng)建一個(gè)連接，用完后就關(guān)閉它，對(duì)于簡(jiǎn)單的系統(tǒng)這樣不會(huì)帶來(lái)什么明顯的性能上的開銷。但是對(duì)于一個(gè)復(fù)雜的系統(tǒng)，頻繁的建立、關(guān)閉連接，會(huì)極大的減低系統(tǒng)的性能，因?yàn)閷?duì)于數(shù)據(jù)庫(kù)連接的使用可能會(huì)成為系統(tǒng)性能的瓶頸。數(shù)據(jù)庫(kù)連接池負(fù)責(zé)分配、管理和釋放數(shù)據(jù)庫(kù)連接，它允許應(yīng)用程序重復(fù)使用一個(gè)現(xiàn)有的數(shù)據(jù)庫(kù)連接，而不是再重新建立一個(gè)；釋放空閑時(shí)間超過(guò)最大空閑時(shí)間的數(shù)據(jù)庫(kù)連接來(lái)避免因?yàn)闆]有釋放數(shù)據(jù)庫(kù)連接而引起的數(shù)據(jù)庫(kù)連接遺漏。

任務(wù)實(shí)施步驟1：引入認(rèn)證工具類t1在pom.xml文件中，引入MySQL驅(qū)動(dòng)包、Mybatis框架、SpringSecurity框架以及JWT包，添加下面的代碼：<!--mybatis--><dependency> <groupId>org.mybatis.spring.boot</groupId> <artifactId>mybatis-spring-boot-starter</artifactId> <version>2.0.1</version></dependency><!--數(shù)據(jù)庫(kù)驅(qū)動(dòng)--><dependency> <groupId>mysql</groupId> <artifactId>mysql-connector-java</artifactId> <scope>runtime</scope> <version>8.0.15</version></dependency><!--springsecurity安全認(rèn)證--><dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId></dependency><!--Token生成與解析--><dependency> <groupId>io.jsonwebtoken</groupId> <artifactId>jjwt</artifactId> <version>0.9.0</version></dependency>

任務(wù)實(shí)施步驟1：引入認(rèn)證工具類t2選中perties文件，右鍵單擊，依次選擇“Refactor->Rename”打開重命名窗口，將perties文件重命名為application.yml文件，結(jié)果如圖3-11所示：

任務(wù)實(shí)施步驟1：引入認(rèn)證工具類t3）在application.yml文件中，添加下面的代碼server:port:8080#指定打印日志配置logging:level:#定義項(xiàng)目mapper包下的日志打印機(jī)別為debugcom.chinasofti.ordersys.mapper:DEBUGspring:profiles:active:dev#熱編譯devtools:restart:#需要實(shí)時(shí)更新的目錄additional-paths:resources/**,static/**,templates/**datasource:driver-class-name:com.mysql.cj.jdbc.Driverurl:jdbc:mysql://:3306/ordersys?useUnicode=true&characterEncoding=utf-8&allowMultiQueries=true&useSSL=false&serverTimezone=UTCusername:rootpassword:rootplatform:mysql

任務(wù)實(shí)施步驟1：引入認(rèn)證工具類t#連接池配置type:com.zaxxer.hikari.HikariDataSourcehikari:#連接池中允許的最小連接數(shù)。缺省值：10minimum-idle:10#連接池中允許的最大連接數(shù)。缺省值：10maximum-pool-size:100#自動(dòng)提交auto-commit:true#一個(gè)連接idle狀態(tài)的最大時(shí)長(zhǎng)（毫秒），超時(shí)則被釋放（retired），缺省:10分鐘idle-timeout:30000#連接池名字pool-name:HikariCP#一個(gè)連接的生命時(shí)長(zhǎng)（毫秒），超時(shí)而且沒被使用則被釋放（retired），缺省:30分鐘，建議設(shè)置比數(shù)據(jù)庫(kù)超時(shí)時(shí)長(zhǎng)少30秒max-lifetime:1800000#等待連接池分配連接的最大時(shí)長(zhǎng)（毫秒），超過(guò)這個(gè)時(shí)長(zhǎng)還沒可用的連接則發(fā)生SQLException，缺省:30秒connection-timeout:30000#數(shù)據(jù)庫(kù)連接測(cè)試語(yǔ)句connection-test-query:SELECT1mybatis:#指定實(shí)體類存放的包路徑type-aliases-package:com.chinasofti.ordersys.model#指定mapper.xml文件的位置為/mybatis-mappers/下的所有xml文件mapper-locations:classpath:/mybatis-mappers/*#轉(zhuǎn)換到駝峰命名configuration:mapUnderscoreToCamelCase:true#token配置token:#令牌自定義標(biāo)識(shí)header:Authorization#令牌秘鑰#secret:abcdefghijklmnopqrstuvwxyzsecret:(OREDERSYS:)_$^11244^%$_(IS:)_@@++--(BAD:)_++++_.sds_(GUY:)#令牌有效期（默認(rèn)30分鐘）expireTime:60

任務(wù)實(shí)施步驟1：引入認(rèn)證工具類t4在common包下引入認(rèn)證工具類，下載教材提供的代碼包并解壓到本地目錄，結(jié)果如圖3-12所示：

任務(wù)實(shí)施步驟1：引入認(rèn)證工具類t5將代碼包中common文件夾下的代碼，復(fù)制到項(xiàng)目目錄common包下，結(jié)果如圖3-13所示：

任務(wù)實(shí)施步驟1：引入認(rèn)證工具類t

任務(wù)實(shí)施步驟1：引入認(rèn)證工具類t6在util包下引入認(rèn)證工具類，將代碼包中util的代碼，復(fù)制到項(xiàng)目目錄util包下，結(jié)果如圖3-14所示：：

任務(wù)實(shí)施步驟1：引入認(rèn)證工具類t

任務(wù)實(shí)施步驟2：編寫權(quán)限認(rèn)證配置類t1在項(xiàng)目目錄config包下，右鍵config包，依次選擇“New->Class”,創(chuàng)建SecuityConfig類文件，結(jié)果如圖3-15所示：

任務(wù)實(shí)施步驟2：編寫權(quán)限認(rèn)證配置類t2SecurityConfig類需要繼承WebSecurityConfigurerAdapter抽象類，重寫configure(HttpSecurityhttp)方法，用來(lái)配置資源訪問(wèn)權(quán)限和驗(yàn)證用戶權(quán)限信息，在SecurityConfig.java文件中添加下面的代碼：/**springsecurity配置*/@EnableGlobalMethodSecurity(prePostEnabled=true,securedEnabled=true)publicclassSecurityConfigextendsWebSecurityConfigurerAdapter{/**自定義用戶認(rèn)證邏輯*/@AutowiredprivateUserDetailsServiceuserDetailsService;/**認(rèn)證失敗處理類*/@AutowiredprivateAuthenticationEntryPointImplunauthorizedHandler;/**token認(rèn)證過(guò)濾器*/@AutowiredprivateJwtAuthenticationTokenFilterauthenticationTokenFilter;/**解決

無(wú)法直接注入AuthenticationManager*@return*@throwsException*/@Bean@OverridepublicAuthenticationManagerauthenticationManagerBean()throwsException{returnsuper.authenticationManagerBean();}

任務(wù)實(shí)施步驟2：編寫權(quán)限認(rèn)證配置類t/**強(qiáng)散列哈希加密實(shí)現(xiàn)*/@BeanpublicBCryptPasswordEncoderbCryptPasswordEncoder(){returnnewBCryptPasswordEncoder();}/**身份認(rèn)證接口*/@Overrideprotectedvoidconfigure(AuthenticationManagerBuilderauth)throwsException{auth.userDetailsService(userDetailsService).passwordEncoder(bCryptPasswordEncoder());}}

任務(wù)實(shí)施步驟2：編寫權(quán)限認(rèn)證配置類t3編寫SecurityConfig類,根據(jù)接口服務(wù)的項(xiàng)目特點(diǎn)，我們需要在認(rèn)證服務(wù)中解決下面的問(wèn)題：①默認(rèn)情況下，接口的權(quán)限控制②允許登錄接口，靜態(tài)資源的匿名訪問(wèn)③JWT接入到Security框架為了解決上述的問(wèn)題，下面重寫configure(HttpSecurityhttp)方法，我們?cè)赟ecurityConfig.java文件中添加下面的代碼：

任務(wù)實(shí)施步驟2：編寫權(quán)限認(rèn)證配置類t@Overrideprotectedvoidconfigure(HttpSecurityhttpSecurity)throwsException{httpSecurity.csrf().disable()//CRSF禁用，因?yàn)椴皇褂胹ession//認(rèn)證失敗處理類.exceptionHandling().authenticationEntryPoint(unauthorizedHandler).and()//基于token，所以不需要session.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS).and().authorizeRequests()//過(guò)濾請(qǐng)求//對(duì)于登錄login接口允許匿名訪問(wèn),.antMatchers("/login","/api","/t").anonymous()//除上面外的所有請(qǐng)求全部需要鑒權(quán)認(rèn)證.anyRequest().authenticated().and().headers().frameOptions().disable();//添加JWTfilterhttpSecurity.addFilterBefore(authenticationTokenFilter,UsernamePasswordAuthenticationFilter.class);}

任務(wù)實(shí)施步驟2：編寫權(quán)限認(rèn)證配置類t在上面的代碼中，重點(diǎn)關(guān)注幾個(gè)部分：

任務(wù)實(shí)施步驟2：編寫權(quán)限認(rèn)證配置類t4編寫ConfigurerAdapter類,由于現(xiàn)代瀏覽器的請(qǐng)求策略，前后端服務(wù)使用的域名不一致的情況下，會(huì)導(dǎo)致接口訪問(wèn)異常；在本項(xiàng)目中，通過(guò)后臺(tái)的跨域配置，解決此問(wèn)題。在項(xiàng)目目錄config包下，右鍵config包，依次選擇“New”->“Class”,創(chuàng)建ConfigurerAdapter類文件，結(jié)果如圖3-16所示：

任務(wù)實(shí)施步驟2：編寫權(quán)限認(rèn)證配置類t5在ConfigurerAdapter類文件中，編寫下面的代碼，啟用服務(wù)器的跨域配置。@Configuration@EnableWebMvcpublicclassConfigurerAdapterimplementsWebMvcConfigurer{//令牌自定義標(biāo)識(shí)@Value("${token.header}")privateStringheader;@BeanpublicCorsFiltercorsFilter(){UrlBasedCorsConfigurationSourcesource=newUrlBasedCorsConfigurationSource();CorsConfigurationconfig=newCorsConfiguration();config.setAllowCredentials(true);config.addAllowedOrigin("*");config.addAllowedHeader("*");config.addAllowedMethod("*");config.setExposedHeaders(Arrays.asList(header));source.registerCorsConfiguration("/**",config);returnnewCorsFilter(source);}}

任務(wù)實(shí)施步驟2：編寫權(quán)限認(rèn)證配置類t6編寫GlobalExceptionHandler類用于全局錯(cuò)誤處理,在項(xiàng)目目錄config包下，右鍵config包，依次選擇“New”->“Class”,創(chuàng)建GlobalExceptionHandler類文件，結(jié)果如圖3-17所示：

任務(wù)實(shí)施步驟2：編寫權(quán)限認(rèn)證配置類t7GlobalExceptionHandler中編寫下面的代碼，通過(guò)下面的配置，將應(yīng)用運(yùn)行時(shí)異常全部攔截，并統(tǒng)一進(jìn)行處理，返回自定義的業(yè)務(wù)返回碼。@RestControllerAdvicepublicclassGlobalExceptionHandler{/***攔截所有運(yùn)行時(shí)的全局異常

*/@ExceptionHandler(RuntimeException.class)@ResponseBodypublicResultsruntimeException(RuntimeExceptione){returnResults.failure(ResponseCode.FAIL.getCode(),e.getMessage());}}

任務(wù)實(shí)施步驟3：新建用戶登錄接口t1.新建用戶實(shí)體類(1)在model包下，右鍵model包，依次選擇“New->Class”,新建UserInfo類，結(jié)果如圖3-18所示：

任務(wù)實(shí)施步驟3：新建用戶登錄接口t(2)在UserInfo類中添加下面的代碼publicclassUserInfo{ privateintuserId;//用戶ID privateStringuserAccount;//用戶賬戶 privateStringuserPass;//用戶密碼 privateintroleId;//用戶角色I(xiàn)D privateStringroleName;//用戶角色名 privateintlocked;//用戶是否被鎖定的標(biāo)識(shí) privateStringfaceimg="default.jpg";//用戶頭像路徑 publicStringgetFaceimg(){ returnfaceimg; } publicvoidsetFaceimg(Stringfaceimg){ this.faceimg=faceimg; } publicintgetLocked(){ returnlocked; } publicvoidsetLocked(intlocked){ this.locked=locked; } publicintgetUserId(){ returnuserId; } publicvoidsetUserId(intuserId){ this.userId=userId; }

任務(wù)實(shí)施步驟3：新建用戶登錄接口t publicStringgetUserAccount(){ returnuserAccount; } publicvoidsetUserAccount(StringuserAccount){ this.userAccount=userAccount; } publicStringgetUserPass(){ returnuserPass; } publicvoidsetUserPass(StringuserPass){ this.userPass=userPass; } publicintgetRoleId(){ returnroleId; } publicvoidsetRoleId(introleId){ this.roleId=roleId; } publicStringgetRoleName(){ returnroleName; } publicvoidsetRoleName(StringroleName){ this.roleName=roleName; }}

任務(wù)實(shí)施步驟3：新建用戶登錄接口t2.新建登錄Mapper接口(1)在mapper包下新建LoginMapper類，結(jié)果如圖3-19所示：

任務(wù)實(shí)施步驟3：新建用戶登錄接口t(2)在LoginMapper類中添加下面的代碼。@MapperpublicinterfaceLoginMapper{ @Select("selectuserId,userAccount,userPass,locked,roleId,roleName,faceimgfromuserinfo,roleinfowhereuserinfo.role=roleinfo.roleIdanduserinfo.userAccount=#{userAccount}") publicList<UserInfo>findUsersByName(@Param("userAccount")StringuserAccount);}

任務(wù)實(shí)施步驟3：新建用戶登錄接口t3.新建登錄Service類(1)在service包下，右鍵service包，依次選擇“New”->“Package”，新建login包結(jié)果如圖3-20所示：

任務(wù)實(shí)施步驟3：新建用戶登錄接口t(2)在service.login包下新建LoginService類，結(jié)果如圖3-21所示：：

任務(wù)實(shí)施步驟3：新建用戶登錄接口t(3)在LoginService類中添加下面的代碼@ServicepublicclassLoginService{ @AutowiredLoginMappermapper; publicLoginMappergetMapper(){ returnmapper; } publicvoidsetMapper(LoginMappermapper){ this.mapper=mapper; } /**

*根據(jù)用戶名查詢用戶數(shù)據(jù) *@paramuserAccount *@return */ publicUserInfofindUserByName(StringuserAccount){ List<UserInfo>list=mapper.findUsersByName(userAccount); UserInfouserInfo=null; if(null!=list&&list.size()==1){ userInfo=list.get(0); } returnuserInfo; }}

任務(wù)實(shí)施步驟3：新建用戶登錄接口t4.新建登錄Api接口(1)在api包下新建login包，結(jié)果如圖3-22所示：

任務(wù)實(shí)施步驟3：新建用戶登錄接口t

(2)在api.login包下新建LoginController類，結(jié)果如圖3-23所示

任務(wù)實(shí)施步驟3：新建用戶登錄接口t

(3)在LoginController類中,新增登錄邏輯，添加下面的代碼：@RestControllerpublicclassLoginController{ @AutowiredLoginServiceloginService; @AutowiredSysLoginServicesysLoginService; /**

*登錄方法

*@paramusername用戶名

*@parampassword密碼

*@return結(jié)果 */ @PostMapping("/login") publicResultslogin(Stringusername,Stringpassword){ System.out.println("/login:username["+username+"]"+"password:["+password+"]");

//生成令牌 Stringtoken=sysLoginService.login(username,password); LoginUseruser=UserHandleUtils.getUser(token); UserInfouserInfo=user.getUser(); userInfo.setUserPass(""); Map<String,Object>res=newHashMap<>(3); res.put("token",token); res.put("user",userInfo); returnResults.success(res); }}

任務(wù)實(shí)施步驟3：新建用戶登錄接口t5.添加兩個(gè)用于測(cè)試登陸結(jié)果的接口，添加下面的代碼：@GetMapping({"/auth"}) publicResultsauth(Stringusername){ System.out.println("/auth:username["+username+"]"); //生成令牌 Map<String,Object>res=newHashMap<>(); res.put("api","auth"); res.put("username",username); res.put("msg","登錄后可見"); returnResults.success(res); }

@PreAuthorize("hasRole('3')") @GetMapping({"/waiter"}) publicResultstestRoleWaiter(Stringusername){ System.out.println("/test:username["+userna