* 提供请求授权功能。用于处理所有 HTTP 请求，并检查是否存在带有正确 token 的 Authorization 标头。 * 如果 token 有效，则过滤器会将身份验证数据添加到 Spring 的安全上下文中，并授权此次请求访问资源。
* * @author star */ public class JwtAuthorizationFilter extends BasicAuthenticationFilter { public JwtAuthorizationFilter(AuthenticationManager authenticationManager) { super(authenticationManager); } @Override protected void doFilterInternal(@NotNull HttpServletRequest request, @NotNull HttpServletResponse response, @NotNull FilterChain filterChain) throws ServletException, IOException { // 从 HTTP 请求中获取 token String token = this.getTokenFromHttpRequest(request); // 验证 token 是否有效 if (StringUtils.hasText(token) && JwtUtils.validateToken(token)) { // 获取认证信息 Authentication authentication = JwtUtils.getAuthentication(token); // 将认证信息存入 Spring 安全上下文中 SecurityContextHolder.getContext().setAuthentication(authentication); } // 放行请求 filterChain.doFilter(request, response); } /** * 从 HTTP 请求中获取 token * * @param request HTTP 请求 * @return 返回 token */ private String getTokenFromHttpRequest(HttpServletRequest request) { String authorization = request.getHeader(SecurityConstants.TOKEN_HEADER); if (authorization == null || !authorization.startsWith(SecurityConstants.TOKEN_PREFIX)) { return null; } // 去掉 token 前缀 return authorization.replace(SecurityConstants.TOKEN_PREFIX, ""); } } ``` **所有的用户请求**都会经过此过滤器，当请求进入过滤器后会经历如下步骤： - 首先，从请求中获取 token 信息，并检查 token 的有效性。 - 如果 token 有效，则解析 token 获取用户名，然后使用用户名从数据库中获取用户角色信息，并在 Spring Security 的上下文中设置身份验证。 - 如果 token 无效或请求不带 token 信息，则直接放行。 特别说明，这里用户的角色信息，是从数据库中重新获取的。其实，这里也可以换成从 token 信息中解析出用户角色，这样可以避免直接访问数据库。 但是，直接从数据库获取用户信息也是很有帮助的。例如，如果用户角色已更改，则可能要禁止使用此 token 进行访问。 **JwtUtils** JwtUtils 工具类，在用户登录成功后，主要用于生成 token，并验证用户请求中发送的 token。 ```java /** * Jwt 工具类，用于生成、解析与验证 token * * @author star **/ public final class JwtUtils { private static final Logger logger = LoggerFactory.getLogger(JwtUtils.class); private static final byte[] secretKey = DatatypeConverter.parseBase64Binary(SecurityConstants.JWT_SECRET_KEY); private JwtUtils() { throw new IllegalStateException("Cannot create instance of static util class"); } /** * 根据用户名和用户角色生成 token * * @param userName 用户名 * @param roles 用户角色 * @param isRemember 是否记住我 * @return 返回生成的 token */ public static String generateToken(String userName, List
* 如果解析失败，说明 token 是无效的
*
* @param token token 信息
* @return 如果返回 true，说明 token 有效
*/
public static boolean validateToken(String token) {
try {
getTokenBody(token);
return true;
} catch (ExpiredJwtException e) {
logger.warn("Request to parse expired JWT : {} failed : {}", token, e.getMessage());
} catch (UnsupportedJwtException e) {
logger.warn("Request to parse unsupported JWT : {} failed : {}", token, e.getMessage());
} catch (MalformedJwtException e) {
logger.warn("Request to parse invalid JWT : {} failed : {}", token, e.getMessage());
} catch (IllegalArgumentException e) {
logger.warn("Request to parse empty or null JWT : {} failed : {}", token, e.getMessage());
}
return false;
}
/**
* 根据 token 获取用户认证信息
*
* @param token token 信息
* @return 返回用户认证信息
*/
public static Authentication getAuthentication(String token) {
Claims claims = getTokenBody(token);
// 获取用户角色字符串
List