Spring Boot用户认证与授权方案

基于Spring Boot的用户认证与授权解决方案

在现代Web应用程序中，用户认证与授权是至关重要的功能。本文将介绍如何使用Spring Boot、Spring Security和JWT（JSON Web Token）来实现安全、高效的用户认证与授权机制。

一、功能需求

1. 用户注册与登录
2. 生成和验证JWT令牌
3. 角色与权限管理
4. API访问控制

二、技术选型

• Spring Boot：简化Java Web应用开发
• Spring Security：提供安全认证与授权机制
• JWT（JSON Web Token）：用于无状态身份验证
• Spring Data JPA：数据持久化

三、解决方案设计

1. 用户注册与登录

用户通过注册接口提交用户名和密码，系统对密码进行加密存储。登录时，验证用户凭据，并生成JWT令牌返回给客户端。

@Service
public class UserService {
    @Autowired
    private UserRepository userRepository;
    @Autowired
    private PasswordEncoder passwordEncoder;

    public User register(User user) {
        user.setPassword(passwordEncoder.encode(user.getPassword()));
        return userRepository.save(user);
    }
}

2. JWT 令牌生成与验证

使用JWT存储用户身份信息，并在每次请求时进行解析和验证。

@Component
public class JwtUtil {
    private String secretKey = "mySecretKey";

    public String generateToken(String username) {
        return Jwts.builder()
                .setSubject(username)
                .setIssuedAt(new Date())
                .setExpiration(new Date(System.currentTimeMillis() + 1000 * 60 * 60))
                .signWith(SignatureAlgorithm.HS256, secretKey)
                .compact();
    }

    public String extractUsername(String token) {
        return Jwts.parser().setSigningKey(secretKey).parseClaimsJws(token).getBody().getSubject();
    }
}

3. 角色与权限管理

使用Spring Security提供的Role-Based Access Control（RBAC）机制，定义不同用户的访问权限。

@Entity
public class Role {
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;
    private String name;
}

4. API访问控制

通过Spring Security配置，限制不同角色访问特定API。

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Autowired
    private JwtUtil jwtUtil;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
            .authorizeRequests()
            .antMatchers("/admin/**").hasRole("ADMIN")
            .antMatchers("/user/**").hasRole("USER")
            .anyRequest().authenticated();
    }
}

四、总结

本方案基于Spring Boot、Spring Security和JWT实现了用户认证与授权，确保了系统的安全性和扩展性。通过RBAC机制，可以灵活管理用户权限，提高系统的安全性和可维护性。