不使用UsernamePasswordAuthenticationToken的Spring Security JWT验证

Question

我需要编写我的自定义安全Spring过滤器来验证一个JWT令牌。

我有我的自定义JWT验证器。当令牌有效时，我必须授权用户。

我像其他一些在线演示的示例一样实现了这一点：

UsernamePasswordAuthenticationToken usernamePasswordAuthenticationToken = new UsernamePasswordAuthenticationToken(user_id, null, null);

usernamePasswordAuthenticationToken.setDetails(new WebAuthenticationDetailsSource().buildDetails(request));  
                  SecurityContextHolder.getContext().setAuthentication(usernamePasswordAuthenticationToken);

这工作得很好，但我的问题是：在不使用UsernamePasswordAuthenticationToken的情况下，是否存在用于JWT验证的专用AuthenticationToken？

Answer 1

当然，从干净代码的角度来看，它看起来不太好，因为它的名称UsernamePasswordAuthenticationToken与对象所做的事情不匹配。JWT与密码无关。就像如果你用橘子这个名字来指代一个苹果，也会让人困惑。

JWT通常用作承载令牌，spring-security-oauth2-resource-server提供了BearerTokenAuthenticationToken。但它会将所有其他OAuth2依赖项的内容拉出到项目中。因此，如果您不需要OAuth2而只需要这个令牌类，只需自己创建一个自己的。