在使用JWT设置成员资格时，使用Spring Security的UserDetailsService有什么好处吗？

Question

我正在应用JWT对请求进行身份验证。解析和验证工作在我的Spring Cloud Gateway中。我在SecurityWebFilterChain上创建了一个自定义过滤器，它解析和验证请求头中的JWT。

我发现它的大多数示例都使用UserDetails来创建身份验证类。

我发现的大多数示例使用UsernamePasswordAuthenticationToken，我发现它需要UserDetails。要构建userdetails，它基本上需要用户名、密码和角色。

但在我的例子中，我不希望每次收到请求时都用用户DB验证我的jwt。此外，我不需要用户的密码，因为我不会验证它一旦我生成令牌。我只想在JWT有效负载中使用用户名和角色。

UserDetails userDetails = User.builder().username(String.valueOf(parsedInfo.get("username")))
    .authorities(parsedInfo.get("roles")).password("dummypassword").build();

我认为我的解决方案没有正确地应用Spring Security性。但是如果我不使用UserDetails，那么使用spring Security有什么好处吗？

我的案子还有更好的解决办法吗？

Answer 1

如果只是需要验证JWT令牌，那么可以使用Spring AOP进行验证。

@Aspect
@Component
public class JwtAspect {

    @Before("execution(* com.yourpackageName.* (..))")
    public void checkJwtToken(JoinPoint joinPoint) {
        String jwtTOken = request.getToken();
        if (null == jwtToken) {
            throw new Exception("Token Not Found. ");
        }
        parseToken(jwtToken);
        joinPoint.proceed();
    }

}

如果您得到了令牌，则解析它并检查过期时间。如果以上一切正常，您可以继续joinpoint。