Spring的安全-JWT给了我什么？

Question

我正在考虑使我的应用程序更安全，并了解正在发生的一切。

我在Spring Boot有一个登录名。该登录调用UserDetailsService实现，如下所示:

   public UserDetails loadUserByUsername(String username)
        throws UsernameNotFoundException {

    User user = userRepository.findByUsername(username);

    if (user.getUsername().isEmpty()) {
        throw new UsernameNotFoundException(
                "No user found with username: "+ username);
    }

    String role;

    if (user.getUserType().contains("Gp")){
        role = "ROLE_GP";
    }

    else if(user.getUserType().contains("Patient")){
        role = "ROLE_PATIENT";
    }

    else {
        role = "ROLE_ADMIN";
    }

    boolean enabled = true;
    boolean accountNonExpired = true;
    boolean credentialsNonExpired = true;
    boolean accountNonLocked = true;
    return  new org.springframework.security.core.userdetails.User
            (user.getUsername(),
                    user.getPassword(), enabled, accountNonExpired,
                    credentialsNonExpired, accountNonLocked,
                    getAuthorities(Arrays.asList(role)));
}

private static List<GrantedAuthority> getAuthorities (List<String> roles) {
    List<GrantedAuthority> authorities = new ArrayList<>();
    for (String role : roles) {
        authorities.add(new SimpleGrantedAuthority(role));
    }
    return authorities;
}

这为我创建了一个具有用户角色的会话，以便我可以配置网络安全配置器适配器等。

所以我的问题是，用JWT添加过滤器到底做了什么？SpringSecurity在默认情况下是否已经这样做了，因为我所做的已经创建了一个经过授权和身份验证的用户。

谢了。

Answer 1

在更高层次上:

您实现的是有状态身份验证。虽然 JWT 为您的应用程序提供无状态身份验证（无需创建/销毁任何会话。每个请求都携带一个令牌来访问资源。).虽然，使用 JWT，您也可以进行有状态身份验证。

技术上:

在这两种方法中，最终结果是相同的。主要区别在于，在您的方法中，您有责任对用户进行身份验证并提供权限。在 JWT 中，对用户进行身份验证的责任属于称为授权服务器的第三方。在应用程序中，您只需验证 JWT，并根据权限允许或拒绝对所需资源的访问。

根据您的需求和架构，您可以选择任何一种。在微服务领域，无状态方法更常见，也最适合。

所以我的问题是，用JWT添加过滤器到底做了什么？Spring Security是否默认执行这些操作

取决于您如何实现它。通常JWT过滤器首先通过签名或加密来验证令牌，然后从JWT读取用户权限。所以不需要有任何user详细服务的实现。