在Spring实施授权

Question

我有一个用例，在这个用例中，我必须只执行授权部分。JWT令牌是由另一个服务生成的。我的服务只会消耗那个令牌，它的自定义声明中会有数据。在我的Spring启动应用程序中，我只想在允许用户访问任何应用编程接口之前验证该令牌是否有效。在所有答案中，我可以看到一个身份验证对象是从当前的安全上下文中创建的。在Spring，有没有什么方法可以让我不需要在自定义过滤器中编写这么多不必要的代码，只需编写解析JWT令牌的逻辑，如果它是有效的，那么允许用户使用应用编程接口或发送未经授权的响应？

Auth0 Java JWT提供了几种验证JWT令牌的方法。我想使用下面的代码进行验证和解析

Algorithm algorithm = Algorithm.HMAC256(secret);
JWTVerifier verifier = JWT.require(algorithm).withIssuer(issuer).build();
DecodedJWT decoded = verifier.verify(token);

Answer 1

如果想使用Spring Security性，就必须使用这些东西（过滤器、身份验证对象、上下文等）。必须设置身份验证才能访问受保护的资源。这一点都不复杂，你不必写“无用”的代码，只需告诉spring security你想做什么。

在你的情况下，你只需要提供一个符合你标准的自定义过滤器。

我们可以想象一下：

@Component
public class TokenAuthenticationFilter extends UsernamePasswordAuthenticationFilter {
    
    
  @Override
  public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain)
      throws IOException, ServletException {

    HttpServletRequest httpRequest = (HttpServletRequest) req;
    // Here, I get the token from authorization header, change if you get it from anywhere else
    String token = httpRequest.getHeader("Authorization");
    
    // here i'm just doing a dummy check. if my token equals "mysupersecrettoken" the authentication is validated
    // change this test by yours (using Auth0 etc.)
    if ("mysupersecrettoken".equals(token)) {
      // dummy authentication object. You can set a real username / credentials / role based on the claims of your token if you want to.
      UsernamePasswordAuthenticationToken user = new UsernamePasswordAuthenticationToken("username", "credentials",
          Arrays.asList(new SimpleGrantedAuthority("ROLE")));
      SecurityContextHolder.getContext().setAuthentication(user);
    }
    // call next filters, if authentication is not valid, no authentication will be set so user will not be authenticated
    chain.doFilter(req, res);
  }

}

这不是使用Spring安全的最佳方式，但这是实现您的用途的一种“最小”方式。你可能也需要设置一些安全上下文，但这不是一件大事。