在使用spring执行rest api之前有什么方法可以验证令牌

Question

我已经为 rest 控制器配置了 spring boot。 我创建了许多 api，但我需要在乞求时验证每个 api 中的令牌信息，用户是否已授权或不基于提供的令牌。

在登录期间，我正在生成令牌，该令牌在每个 api 中都需要用于访问信息。如果令牌无效，那么我需要返回消息Sorry, your provided token information has been expired or not exists.

下面是我的api。

@RequestMapping(value="/delete", method= RequestMethod.DELETE)
public Map<String, Object> delete(@RequestBody String reqData,HttpServletRequest request) {
    Map<String, Object> m1 = new HashMap<String,Object>();
    JSONObject jsonData = new JSONObject(reqData);
    Token token= tokenDao.getByTokenCode(jsonData.getString("token"));
    if(token==null){
        m1.put("status", "error");
        m1.put("message", "Sorry, your provided token information expired or not exists.");
        return m1;
    }
    //here my logic to remove user from database.
}

有没有办法检查服务方法中的令牌功能或使用注释，所以我需要在每个 api 中删除相同的代码并需要使用一个通用功能。

Answer 1

您可以使用 HandlerInterceptor 来处理您的令牌。

HandlerInterceptor.preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) 将在任何 RequestMapping 之前执行。

在preHandle中验证您的令牌。如果令牌有效，则继续，否则抛出异常，控制器建议将处理其余部分。

暴露 MappedInterceptor 的 bean 类，spring 会自动加载 HandlerInterceptor bean 包含的内容。

ControllerAdvice 和 ExceptionHandler 可以捕获异常并返回错误信息

完整示例

@RestController
@EnableAutoConfiguration
public class App {

    @RequestMapping("/")
    public String index() {
        return "hello world";
    }

    public static void main(String[] args) {
        SpringApplication.run(App.class, args);
    }

    public static class MyException extends RuntimeException {

    }

    @Bean
    @Autowired
    public MappedInterceptor getMappedInterceptor(MyHandlerInterceptor myHandlerInterceptor) {
        return new MappedInterceptor(new String[] { "/" }, myHandlerInterceptor);
    }

    @Component
    public static class TestBean {
        public boolean judgeToken(HttpServletRequest request) {
            String token = request.getParameter("token");
            if (token == null) {
                throw new MyException();
            }
            return true;
        }
    }

    @Component
    public static class MyHandlerInterceptor implements HandlerInterceptor {

        @Autowired
        TestBean testBean;

        @Override
        public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler)
                throws Exception {
            return testBean.judgeToken(request);
        }

        @Override
        public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler,
                ModelAndView modelAndView) throws Exception {

        }

        @Override
        public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler,
                Exception ex) throws Exception {

        }
    }

    @ControllerAdvice
    public static class MyExceptionHandler {
        @ExceptionHandler(MyException.class)
        @ResponseBody
        public Map<String, Object> handelr() {
            Map<String, Object> m1 = new HashMap<String, Object>();
            m1.put("status", "error");
            m1.put("message", "Sorry, your provided token information expired or not exists.");
            return m1;
        }
    }

}

Answer 2

public class TokenVallidation
 {        
    public static boolean tokenValidation(user id, String token){    
        Token token= tokenDao.getByTokenCode(id,jsonData.getString("token"));
        if(token==null){
            m1.put("status", "error");
            m1.put("message", "Sorry, your provided token information expired or not exists.");
            return false;
        }     
        else{
            return true;
        }
    }
}

对于控制器传递用户 ID 和令牌并检查令牌。您需要根据user id 参数更新dao 方法。

Answer 3

您可以使用缓存，而不是从数据库中获取令牌并与当前令牌匹配。创建您自己的缓存对象，如Map 或静态string，它将具有最新的令牌。您可以直接将传入的令牌与缓存中的此令牌进行比较。无需每次都访问数据库。