Java on Blog

SpringSecurity实现JWT认证

Wed, 27 Jul 2022 13:41:28 +0000

什么是JWT？

JWT全称Json web token，是目前较为流行的认证方案，相较于传统基于Session和Cookie的认证机制，服务端无状态，可扩展性好

有个比喻可以可以很贴切的表示Jwt和Session的区别：

Session机制是把一把钥匙保存在客户端，请求的时候送到服务端，用来打开服务端的保险箱（当然，服务端的保险箱一般情况下都没有加密）；

JWT机制就是把一个保险箱放在客户端，请求的时候把整个保险箱送到服务端，服务端使用自己独有的钥匙打开保险箱获得或者更新里面的东西

JWT主要由三部分组成：Header、Payload 和 Signature

header: 包含令牌的类型，以及使用的加密算法

{
  "alg": "HS256",
  "typ": "JWT"
}

payload: 包含一些自定义的数据，以及可选的预定义好的建议使用的key（比如iss、exp等）

{
  "sub": "1234567890",
  "name": "John Doe",
  "iat": 1516239022
}

Signature：签名主要是将header和payload进行base64Url编码后使用“.”拼接起来的字符进行Hash运算，Hash算法即header中指定好的算法

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),  
  your-256-bit-secret
)

最后，将三者合在一起即得到最终的Jwt Token

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

SpringSecurity实现JWT认证

首先，需要在POM文件中引入相关的依赖项目

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 https://maven.apache.org/xsd/maven-4.0.0.xsd">
	<modelVersion>4.0.0</modelVersion>
	<parent>
		<groupId>org.springframework.boot</groupId>
		<artifactId>spring-boot-starter-parent</artifactId>
		<version>2.6.7</version>
		<relativePath /> <!-- lookup parent from repository -->
	</parent>
	<groupId>com.datasource</groupId>
	<artifactId>demo</artifactId>
	<version>0.0.1-SNAPSHOT</version>
	<name>demo</name>
	<description>Demo project for Spring Boot</description>
	<properties>
		<java.version>8</java.version>
	</properties>
	<dependencies>
		<dependency>
			<groupId>org.springframework.boot</groupId>
			<artifactId>spring-boot-starter-web</artifactId>
		</dependency>
		<dependency>
			<groupId>org.mybatis.spring.boot</groupId>
			<artifactId>mybatis-spring-boot-starter</artifactId>
			<version>2.2.2</version>
		</dependency>

		<dependency>
			<groupId>mysql</groupId>
			<artifactId>mysql-connector-java</artifactId>
			<scope>runtime</scope>
		</dependency>
		<dependency>
			<groupId>org.projectlombok</groupId>
			<artifactId>lombok</artifactId>
			<optional>true</optional>
		</dependency>
		<dependency>
			<groupId>com.alibaba</groupId>
			<artifactId>druid-spring-boot-starter</artifactId>
			<version>1.2.8</version>
		</dependency>
		<dependency>
			<groupId>org.springframework.boot</groupId>
			<artifactId>spring-boot-starter-security</artifactId>
		</dependency>
		<dependency>
			<groupId>io.jsonwebtoken</groupId>
			<artifactId>jjwt</artifactId>
			<version>0.9.1</version>
		</dependency>
	</dependencies>

	<build>
		<plugins>
			<plugin>
				<groupId>org.springframework.boot</groupId>
				<artifactId>spring-boot-maven-plugin</artifactId>
				<configuration>
					<excludes>
						<exclude>
							<groupId>org.projectlombok</groupId>
							<artifactId>lombok</artifactId>
						</exclude>
					</excludes>
				</configuration>
			</plugin>
		</plugins>
	</build>

</project>

SpringSecurity的具体配置如下，这里将**/error放入白名单的目的在于获悉报错信息，SpringBoot对于异常的默认处理机制是将报错信息路由到/error**处理，但是由于SpringSecurity的拦截，最终系统抛出异常的时候，只会得到401响应，而无有用的信息。

SpringSecurity基本使用

Thu, 16 Jun 2022 14:26:58 +0000

一般来说，系统都离不开认证（authentication）、授权（authentization）两个基本功能，在Spring体系下提供了SpringSecurity作为安全框架。

简单配置

引入springsecurity只需要在pom文件中声明spring-boot-starter-security即可

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

接下来直接启动项目，打开 http://localhost:8080

即使什么代码还没添加，资源已经被保护起来了，打开控制台，可以看到项目启动的时候已经预置了密码

输入默认的用户名user和密码，即可登录。

配置数据库用户登录

SpringSecurity通过继承WebSecurityConfigurerAdapter进行一系列安全配置

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter{
    
    @Autowired
    private MyUserDetailsService userDetailsService;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable(); //关闭csrf配置
        http.authorizeRequests().antMatchers("/api/login", "/api/register").permitAll(); //暴露两个url用于认证授权
        http.authorizeRequests().anyRequest().authenticated();

    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(new BCryptPasswordEncoder());
    }

    @Override
    @Bean
    protected AuthenticationManager authenticationManager() throws Exception {
        return super.authenticationManager();
    }
    
}

数据表SQL如下

CREATE TABLE `user` (
  `id` bigint NOT NULL AUTO_INCREMENT,
  `username` varchar(255) NOT NULL,
  `password` varchar(255) NOT NULL,
  PRIMARY KEY (`id`)
) ENGINE=InnoDB AUTO_INCREMENT=5 DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_0900_ai_ci;

认证的关键是要有用户，SpringSecurity通过UserDetailService接口的loadUserByByUsername加载用户实体类。

SpringBoot多数据源

Thu, 19 May 2022 14:01:41 +0000

在某些场景下，系统可能不止一个数据库，需要根据实际需要切换数据源访问不同的数据库，在Spring框架下为我们提供了org.springframework.jdbc.datasource.lookup.AbstractRoutingDataSource类用于设置多数据源和指定切换规则。

基本配置

数据库配置

首先新建两个数据库，这是直接使用docker启动两个测试数据库

docker ps
CONTAINER ID   IMAGE                COMMAND                  CREATED        STATUS                PORTS                                     NAMES
98c5b1d4ab69   postgres             "docker-entrypoint.s…"   2 days ago     Up 2 days             0.0.0.0:5432->5432/tcp                    postgres-db
88723934d79a   mysql/mysql-server   "/entrypoint.sh --ch…"   9 months ago   Up 5 days (healthy)   0.0.0.0:3306->3306/tcp, 33060-33061/tcp   mysql

分别在Mysql和Postgres新建两个测试用库master和slave，并各自新建test_table表，插入数据

-- mysql
DROP TABLE IF EXISTS `test_table`;
CREATE TABLE `test_table` (
  `id` int NOT NULL AUTO_INCREMENT,
  `name` varchar(255) DEFAULT NULL,
  PRIMARY KEY (`id`)
) ENGINE=InnoDB AUTO_INCREMENT=2 DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_0900_ai_ci;

INSERT INTO `test_table` VALUES (1, 'master');

-- postgresql
DROP TABLE IF EXISTS "public"."test_table";
CREATE TABLE "public"."test_table" (
  "id" int4 NOT NULL,
  "name" varchar(255) COLLATE "pg_catalog"."default"
);

INSERT INTO "public"."test_table" VALUES (1, 'slave');

项目配置

项目整体目录结构如下：

tree
.
├── HELP.md
├── mvnw
├── mvnw.cmd
├── pom.xml
└── src
    ├── main
    │   ├── java
    │   │   └── com
    │   │       └── datasource
    │   │           └── demo
    │   │               ├── DemoApplication.java
    │   │               ├── config
    │   │               │   ├── DataSourceConfig.java
    │   │               │   └── DynamicDataSource.java
    │   │               ├── entity
    │   │               │   └── DataEntity.java
    │   │               └── mapper
    │   │                   └── DataMapper.java
    │   └── resources
    │       └── application.yml
    └── test
        └── java
            └── com
                └── datasource
                    └── demo
                        └── DemoApplicationTests.java

15 directories, 11 files

pom.xml配置如下，主要引入了springboot-start、数据库驱动、lombok、druid、logback等依赖

主流Java日志框架分析

Sun, 13 Feb 2022 06:05:32 +0000

背景

Log4j and JUL

在早期日志框架还没有出现以前，当时的程序员调试、记录日志只能使用System.out标准输出，该方式缺点很明显，无法进行细粒度的控制，并且无法定制化输出。在这种环境下，Apache基金会发布了Log4j，一经推出广为欢迎，甚至成为了事实上的标准。后来Apache建议将其纳入Jdk中，然而被sun公司拒绝。虽然sun没有采纳Log4j，但是在JDK1.4版本中也引入了JUL框架，该框架很大程度上参考了Log4j。前文详细介绍了JDK1.4引入的JUL日志框架，虽然是JDK内置的框架，但是该日志框架却一直不是很受欢迎。

为了解耦日志的实现，Apache推出了JCL（Jakarta Commons Logging）框架。JCL只包含一套接口即日志标准，没有具体的实现，这样在使用的时候可以直接引用JCL接口，无需关心具体的实现类，并在更换日志实现类的时候无需修改已有的代码。JCL支持以下日志实现（优先级按照顺序排列）：Log4j、JUL、simpleLog。

Slf4j and Logback

由于Ceki Gülcü和Apache的分歧，并且觉得JCL接口设计的不好，容易让开发者写出有性能问题的代码，于是开发了Slf4j。Slf4j作为一套标准接口，可以实现无缝与多种实现框架进行对接。它也是现在比较常用的日志集成方式。之后Ceki Gülcü又顺带着开发完成了Logback作为Slf4j的默认实现。Slf4j和Logback已经成为了目前主流的日志门面与框架。

Log4j2

2012年，Apache重写了Log4j，实现了Log4j2，不仅具有Logback所有功能特性，并且在运行效率上也大大提高（PS：前不久Log4j2出现了远程代码执行漏洞）。

Slf4j Logback组合介绍

首先在pom.xml中引入slf4j-api。

<dependency>
      <groupId>org.slf4j</groupId>
      <artifactId>slf4j-api</artifactId>
      <version>1.7.35</version>
</dependency>

试着直接使用slf4j看看效果：

package com.example;

import org.junit.Test;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;

public class LogBackTest {
    
    @Test
    public void Slf4jTest() {
        Logger logger = LoggerFactory.getLogger(this.getClass());
        logger.trace("it's a trace level log");
        logger.debug("it's a debug level log");
        logger.info("it's a info level log");
        logger.warn("it's a warn level log");
        logger.error("it's a error level log");
    }
}

Java8-流

Tue, 09 Mar 2021 07:21:52 +0000

流是什么

流是java8 API的新成员，它允许你以声明性的方式处理数据集合。

集合处理方法比较

使用以下代码返回低热量菜肴的名称，按照卡路里排序，在不使用流的情况下，一般是用以下代码进行处理。

List<Dish> lowCaloricDishes = new ArrayList<>();
for (Dish d : menu) {
    if (d.getCalories() < 400) {
        lowCaloricDishes.add(d);
    }
}
Collections.sort(lowCaloricDishes, new Comparator<Dish>() {
    public int compare(Dish d1, Dish d2) {
        return Integer.compare(d1.getCalories(), d2.getCalories());
    }
});
List<String> lowCaloricDishesName = new ArrayList<>();
for (Dish d : lowCaloricDishes) {
    lowCaloricDishesName.add(d.getName());
}

这段代码中使用了一个"垃圾变量"lowCaricDishes。它唯一作用就是作为一次性的中间容器，可以看到针对这个简单的需求，代码实现起来比较冗余，这也是java之前被饱受诟病的地方😅。

而在java8中，实现的细节被放在它本该归属的库中。

List<String> lowCaloricDishName = 
    menu.stream()
        .filter(d -> d.getCalories() < 400)
        .sorted(Comparator.comparing(Dish::getCalories))
        .map(Dish::getName)
        .collect(Collectors.toList());

对比以上代码，可以看到Java8使用stream对集合进行处理的方法简洁、明了。并且还能够充分利用多核架构提升性能——只需要将stream()换成parallelStream()。

总结下，Java8中的Stream API可以写出如下代码：

声明性——更简洁，更易读
可复合——更灵活
可并行——性能更好