spring boot + spring security +JWT令牌 +前后端分离--- 心得

观看这篇随笔需要有spring security基础。

心得：

1.生成token 的变化数据是用户名和权限拼接的字符串 ，其他的固定
2.生成的token是将登录通过的用户的权限拼接的字符串加密后放入里面后加密，当携带token访问时被拦截后，会将token解析出的权限注册，因为不与数据库等数据共享校验权限最新信息，
如果在携带token的请求前权限有变化，但是token却没有改变，会导致token权限与用户真实权限不一致，形成脏数据啦！！！
如果权限增加还好，使得无法访问新加权限的操作，如果是减少权限，比如vip过期，用户仍然可以有vip权限。
3.解决token脏数据的方案有两个：
（1）等待该token失效时间【不靠谱】；
（2）每次修改权限时，会强制使得token失效，具体怎么做，还没试过
4.当然，也有优点的，不与数据库等最新数据做权限对比操作，较少了访问数据库该用户信息的部分，能快速的过滤请求权限，理论上访问数据会变快。
5.可以设置过期时间，单位毫秒，用时间戳设置 ，到时间则不可在使用，
但是缺点很明显，在未过期之前，可以无数次访问验证通过，无法控制使用次数，
因此不能作为资源服务器对第三方应用开放的授权令牌，
6.令牌格式对不上，会直接报错异常，为了服务降级，做个异常捕获即可
7.如果生成了新的令牌，旧的令牌仍然可以使用，因此会导致多设备同时登录的情况，无法控制登录数量
8.使用jwt[java web token],做登录校验，则会导致http.sessionManagement().maximumSessions(1);设置失效，因为没有使用session做为登录控制
//
安全弊端很多 ， 但是让我深刻明白了token的内部思想
完全可以使用redis来完成用户token的管理，但是这样每次都需要向redis查询一次，就让jave web token 不伦不类了 。。。。
虽然已经尽可能的让服务器减少负担和提高反应速度，但仍然感觉好鸡肋
//
当然应用场景还是有的，可用于分享连接的使用，这样既能向有令牌的用户使用被分享的权限，而且不需要去数据库获取数据对其进行对比，降低服务器负担，
也就是说比较适合半开放性的功能使用
//
工程我放在GitHub仓库了
https://github.com/cen-xi/spring-security-JWT

2.操作

看我的源码大招，写了很多注释了，足够详细了，我懒得再写说明

 （1）目录结构

 

 

 

（2）添加依赖包

 

 

 pom.xml源码

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 https://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>
    <parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>2.3.0.RELEASE</version>
        <relativePath/> <!-- lookup parent from repository -->
    </parent>
    <groupId>com.example</groupId>
    <artifactId>security-jwt-5605</artifactId>
    <version>0.0.1-SNAPSHOT</version>
    <name>security-jwt-5605</name>
    <description>Demo project for Spring Boot</description>

    <properties>
        <java.version>1.8</java.version>
    </properties>

    <dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>

        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-test</artifactId>
            <scope>test</scope>
            <exclusions>
                <exclusion>
                    <groupId>org.junit.vintage</groupId>
                    <artifactId>junit-vintage-engine</artifactId>
                </exclusion>
            </exclusions>
        </dependency>
        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-test</artifactId>
            <scope>test</scope>
        </dependency>

        <!-- jwt依赖-->
        <dependency>
            <groupId>io.jsonwebtoken</groupId>
            <artifactId>jjwt</artifactId>
            <version>0.9.1</version>
        </dependency>


    </dependencies>

    <build>
        <plugins>
            <plugin>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-maven-plugin</artifactId>
            </plugin>
        </plugins>
    </build>

</project>

View Code