spring security和java web token整合
思路:
spring security
1、用户输入用户名密码。
2、验证:从库中(可以是内存、数据库等)查询该用户的密码、角色,验证用户名和密码是否正确。如果正确,则将填充Authentication(UsernamePasswordAuthenticationToken是其实现类),填充Authentication,会将用户的角色也填充进去。
Authentication authentication= new UsernamePasswordAuthenticationToken(auth.getName(), auth.getCredentials(), AUTHORITIES);//设置用户名、密码、权限列表创建Authentication对象,AUTHORITIES为权限列表
3、授权:根据WebSecurityConfigurerAdapter中的configure(HttpSecurity httpSecurity)配置,FilterSecurityInterceptor会 判断此用户是否可以访问handler。如果没有权限,则会抛出异常。
4、SecurityContextHolder会管理填充好的Authentication,SecurityContextHolder利用ThreadLocal管理这些安全对象,这样在逻辑代码中随时取出用户的信息。
java web token
参考:https://www.cnblogs.com/BonnieWss/p/11129400.html
spring security与jwt整合
1、从请求头中取出jwt,并解析,如果能正确解析,说明可以通过验证,并取出其负载信息UserDetails
2、将UserDetails填充Authentication
Authentication authentication= new UsernamePasswordAuthenticationToken(userDetails, userDetails.getCredentials(), userDetails.getAuthorities);//设置用户名、密码、权限列表创建Authentication对象,AUTHORITIES为权限列表
3、后续步骤和spring security一样
具体代码参考:https://www.cnblogs.com/BonnieWss/p/11149699.html