如何使用JWT令牌在Spring中向安全endpoint的GET请求中包含授权标头

Question

Im使用Spring-Security和JWT库生成令牌。当用户通过身份验证时，我得到授权令牌作为响应：

Authorization: Bearer eyJhbGciOiJIUzUxMiJ...

在所有教程中，我都看到作者在使用POSTMAN发送GET请求时将此令牌粘贴在授权标头中，但没有教程说明它如何在实际请求中工作。尽管在我的邮递员中，当我粘贴标题时，它是有效的，我得到了200个OK。

我想知道如何在真正的代码中包含这个标题？

public class JwtUsernameAndPasswordAuthenticationFilter extends UsernamePasswordAuthenticationFilter {

    private final AuthenticationManager authenticationManager;
    private final JwtConfig jwtConfig;
    private final SecretKey secretKey;


    public JwtUsernameAndPasswordAuthenticationFilter(
            AuthenticationManager authenticationManager, 
            JwtConfig jwtConfig,
            SecretKey secretKey) {

        this.authenticationManager = authenticationManager;
        this.jwtConfig = jwtConfig;
        this.secretKey = secretKey;
    }

    @Override
    public Authentication attemptAuthentication(HttpServletRequest request, 
            HttpServletResponse response) throws AuthenticationException { 

        try {       
        System.out.println("Authentication token " + request.getInputStream());
        UsernameAndPasswordAuthenticationRequest authenticationRequest = 
                new ObjectMapper().readValue(request.getInputStream(), 
                UsernameAndPasswordAuthenticationRequest.class);


        Authentication authentication = new UsernamePasswordAuthenticationToken(
                authenticationRequest.getUsername(), 
                authenticationRequest.getPassword()
        );



        SecurityContextHolder.getContext().setAuthentication(authentication);

        Authentication authenticate = authenticationManager.authenticate(authentication);
        return authenticate;

        } catch(IOException e) {
            throw new RuntimeException("new runtime exception " + e);
        }

    }


    @Override
    protected void successfulAuthentication(HttpServletRequest request, HttpServletResponse response, 
            FilterChain chain, Authentication authResult) throws IOException, ServletException {

        String token = Jwts.builder()
            .setSubject(authResult.getName())
            .claim("authorities", authResult.getAuthorities())
            .setIssuedAt(new Date())
            .setExpiration(java.sql.Date.valueOf(LocalDate.now().plusDays(jwtConfig.getTokenExpirationAfterDays())))
            .signWith(secretKey)
            .compact();

       System.out.println("This is token: " + token);   
       response.addHeader(jwtConfig.getAuthorizationHeader(), jwtConfig.getTokenPrefix() + token);

    } 





}

编辑

这是我的前端请求。在这个调用之后，我得到带有授权令牌的响应头。现在的问题是我如何使用这个令牌来实现未来的请求？：

$.ajax({
                      type: 'POST',
                      url: "/login",
                      data: JSON.stringify({
                          "username" : "linda",
                          "password" : "password",

                      }),
                      success: function(response) {
                         // some logic
                         },

                      error: function(e) {
                        console.log(e);
                      },
                      processData: false,
                      //dataType: "json",
                      contentType: "application/json; charset=utf-8"
                    });

Answer 1

我建议使用单页框架，如角或反应，因为提供更好的工具。但是你使用的框架完全取决于你的应用程序。对于JQuery和javascript，你可以这样使用：
你必须在浏览器中存储令牌。其中一种方法是使用“本地存储”：

  success: function(response) {
    // not sure how you send token
    localStorage.setItem('token', response.token)
  },

然后将令牌头添加到ajax请求中。请注意，您必须在代码中处理空令牌或过期令牌。

token = localStorage.getItem('token')
$.ajaxSetup({
  headers: { Authorization: 'Bearer ' + token }
})
//call ajax

Answer 2

用户通过身份验证后，您希望使用本地存储或会话存储将返回的令牌存储在客户端。接下来，您将保护任何需要所述令牌（受保护路由）的路由/endpoint。应该有一个授权保护，检查头中是否存在令牌（与通过邮递员发送请求时使用的格式相同）。如果令牌无效或从报头中完全丢失，它通常会重定向到不同的路由（通常是登录页面）。

这不是针对Spring的，而是针对JSON Web Tokens的。实现从一种语言/框架到另一种语言/框架不同，据我所知，这总是一般的过程。