使用Spring Boot和Spring Security构建安全的RESTful API

引言

在现代Web开发中，安全性是一个不可忽视的重要方面。Spring Boot和Spring Security是Java生态中广泛使用的框架，它们提供了强大的工具来保护RESTful API。本文将介绍如何结合这两个框架，并使用JWT（JSON Web Token）实现身份验证与授权。

项目搭建

首先，我们需要创建一个Spring Boot项目。可以使用Spring Initializr（https://start.spring.io/）快速生成项目骨架。选择以下依赖：

Spring Web
Spring Security
Lombok（简化代码）

配置Spring Security

Spring Security默认会为所有端点启用基本认证。我们需要自定义配置以实现JWT验证。

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {@Overrideprotected void configure(HttpSecurity http) throws Exception {http.csrf().disable().authorizeRequests().antMatchers("/api/auth/**").permitAll().anyRequest().authenticated().and().addFilter(new JwtAuthenticationFilter(authenticationManager())).addFilter(new JwtAuthorizationFilter(authenticationManager()));}
}

实现JWT

JWT是一种轻量级的身份验证机制，由三部分组成：头部、载荷和签名。我们可以使用jjwt库来生成和验证JWT。

public class JwtUtil {private static final String SECRET_KEY = "your-secret-key";public static String generateToken(String username) {return Jwts.builder().setSubject(username).setExpiration(new Date(System.currentTimeMillis() + 86400000)) // 1天.signWith(SignatureAlgorithm.HS256, SECRET_KEY).compact();}public static boolean validateToken(String token) {try {Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token);return true;} catch (Exception e) {return false;}}
}