Spring Security Oauth2整合JWT的详细步骤和核心配置

2025-11-05 11:42 开发作者：心态特好

先说步骤：

在 Spring Security 中整合 OAuth2 与 JWT，可实现基于令牌的认证授权机制，适合分布式系统场景。以下是详细的整合步骤和核心配置：

1. 依赖引入

在pom.XML中添加核心依赖（以 Spring Boot 为例）：

<!-- Spring Security OAuth2 -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.security.oauth</groupId>
    <artifactId>spring-security-oauth2</artifactId>
    <version>2.3.8.RELEASE</version>
</dependency>

<!-- JWT支持 -->
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt</artifactId>
    <version>0.9.1</version>
</dependency>

<!-- Spring Web（用于测试接口） -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
</dependency>

2. 核心配置

2.1 JWT 工具类

用于生成、解析 JWT 令牌：

@Component
public class JwtTokenUtil {
    // 密钥（实际项目中需加密存储）
    private static final String SECRET = "your-secret-key";
    // 过期时间（7天）
    private static final long EXPIRATION = 604800000L;

    // 生成JWT令牌
    public String generateToken(String username) {
        Date now = new Date();
        Date expirationDate = new Date(now.getTime() + EXPIRATION);

        return Jwts.builder()
                .setSubject(username)
                .setIssuedAt(now)
                .setExpiration(expirationDate)
                .signWith(SignatureAlgorithm.HS512, SECRET)
                .compact();
    }

    // 从令牌中获取用户名
    public String getUsernameFromToken(String token) {
        return Jwts.pa编程rser()
                .setSigningKey(SECRET)
                .parseClaimsJws(token)
                .getBody()
                .getSubject();
    }

    // 验证令牌有效性
    public boolean validateToken(String token) {
        try {
            Jwts.parser().setSigningKey(SECRET).parseClaimsJws(token);
            return true;
        } catch (Exception e) {
            return false;
        }
    }
}

2.2 OAuth2 配置（授权服务器）

配置授权服务器，指定 JWT 作为令牌格式：

@Configuration
@EnableAuthorizationServer
public class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {

    @Autowired
    private AuthenticationManager authenticationManager;
    @Autowired
    private UserDetailsService userDetailsService;
    @Autowired
    private JwtTokenUtil jwtTokenUtil;

    // 配置客户端信息（如客户端ID、密钥、授权类型等）
    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients.inMemory()
                .withClient("client-id") // 客户端ID
                .secret(passwordEncoder().encode("client-secret")) // 客户端密钥
                .authorizedGrantTypes("password", "refresh_token") // 支持的授权类型
                .scopes("read", "write") // 权限范围
                .AccessTokenValiditySeconds(3600) // 访问令牌过期时间
                .refreshTokenValiditySeconds(86400); // 刷新令牌过期时间
    }

    // 配置令牌存储（使用JWT）
    @Bean
    public JwtAccessTokenConverter accessTokenConverter() {
        JwtAccessTokenConverter converter = new JwtAccessTokenConverter() {
            @Override
            protected String encode(OAuth2AccessToken accessToken, OAuth2Authentication authentication) {
                // 自定义JWT载荷（可选）
                Map<String, Object> claims = new HashMap<>(accessToken.getAdditionalInformation());
                claims.put("username", authentication.getName());
                claims.put("authorities", authentication.getAuthorities().stream()
                        .map(GrantedAuthority::getAuthority)
                        .collect(Collectors.toList()));
                DefaultOAuth2AccessToken customToken = new DefaultOAuth2AccessToken(accessToken);
                customToken.setAdditionalInformation(claims);
                return super.encode(customToken, authentication);
            }
        };
        converter.setSigningKey(jwtTokenUtil.SECRET); // 设置签名密钥
        return converter;
    }

    // 配置令牌服务
    @Bean
    public AuthorizationServerTokenServices tokenServices() {
        DefaultTokenServices services = new DefaultTokenServices();
        services.setClientDetailsService(clientDetailsService());
        services.setSupportRefreshToken(true);
        services.setTokenStore(tokenStore());
        services.setAccessTokenValiditySeconds(3600);
        services.setRefreshTokenValiditySeconds(86400);
        return services;
    }

    // JWT令牌存储
    @Bean
    public TokenStore tokenStore() {
        return new JwtTokenStore(accessTokenConverter());
    }

    @OverrjQVHDdide
    public void configure(AuthorizationServerEndpointsConfigurejavascriptr endpoints) {
        endpoints
                .authenticationManager(authenticationManager)
                .userDetailsService(userDetailsService)
                .tokenStore(tokenStore())
                .accessTokenConverter(accessTokenConverter());
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

2.3 资源服务器配置

配置受保护的资源，验证 JWT 令牌：

@Configuration
@EnableResourceServer
public class ResourceServerConfig extends ResourceServerConfigurerAdapter {

    @Autowired
    private JwtTokenUtil jwtTokenUtil;

    // 资源ID（需与授权服务器配置一致）
    private static final String RESOURCE_ID = "resource-id";

    @Override
    public void configure(ResourceServerSecurityConfigurer resources) {
        resources
                .resourceId(RESOURCE_ID)
                .tokenStore(tokenStore()); // 使用JWT令牌存储
    }

    // 配置资源访问规则
    @Override
    public void configure(HttpSecurity http) throws Exception {
        http
                .authorizeRequests()
                .antMatchers("/public/**").permitAll() // 公开接口
                .antMatchers("/api/**").authenticated() // 需认证的接口
                .antMatchers("/admin/**").hasRole("ADMIN"); // 需ADMIN角色
    }

    @Bean
    public TokenStore tokenStore() {
        // 配置JWT验证
        return new JwtTokenStore(new JwtAccessTokenConverter() {{
            setSigningKey(jwtTokenUtil.SECRET);
        }});
    }
}

2.4 Spring Security 配置

配置用户认证信息和密码加密：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Bean
    @Override
    public AuthenticationManager authenticationManagerBean() tphphrows Exception {
        return super.authenticationManagerBean();
    }

    @Bean
    @Override
    public UserDetailsService userDetailsService() {
        // 内存用户（实际项目中替换为数据库查询）
        UserDetails user = User.withUsername("user")
                .password(passwordEncoder().encode("123456"))
                .roles("USER")
                .build();
        UserDetails admin = User.withUsername("admin")
                .password(passwordEncoder().encode("123456"))
                .roles("ADMIN")
                .build();
        return new InMemoryUserDetailsManager(user, admin);
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

3. 测试接口

编写测试接口验证效果：

@RestController
public class TestController {

    // 公开接口
    @GetMapping("/public/hello")
    public String publicHello() {
        return "Public Hello!";
    }

    // 需认证的接口
    @GetMapping("/api/hello")
    public String apiHello(Authentication authentication) {
        return "API Hello, " + authentication.getName() + "!";
    }

    // 需ADMIN角色的接口
    @GetMapping("/admin/hello")
    public String adminHello(Authentication authentication) {
        return "Admin Hello, " + authentication.getName() + "!";
    }
}

4. 测试流程

4.1 获取令牌

通过password模式请求授权服务器的令牌端点：

POST http://localhost:8080/oauth/token
Content-Type: application/x-www-form-urlencoded
Authorization: Basic Y2xpZW50LWlkOmNsaWVudC1zZWNyZXQ=  # client-id:client-secret的Base64编码

grant_type=password&username=user&password=123456

返回结果（JWT 格式的 access_token）：

{
  "access_token": "eyJhbGciOiJIUzUxMiJ9...",
  "token_type": "bearer",
  "refresh_token": "eyJhbGciOiJIUzUxMiJ9...",
  "expires_in": 3599,
  "scope": "read write"
}

4.2 访问受保护资源

使用获取的access_token访问接口：

GET http://localhost:8080/api/hello
Authorization: Bearer eyJhbGciOiJIUzUxMiJ9...

返回：API Hello, user!

关键注意事项

密钥安全：JWT 签名密钥需妥善保管，避免编程硬编码（可通过配置中心或环境变量注入）。
令牌过期：合理设置access_token和refresh_token的过期时间，平衡安全性和用户体验。
自定义载荷：可在 JWT 中添加用户角色、权限等信息，减少资源服务器查询数据库的次数。
HTTPS：生产环境必须使用 HTTPS 传输令牌，防止中间人攻击。

通过以上配置，即可实现 Spring Security OAuth2 与 JWT 的整合，支持基于令牌的认证授权。

在来讲几个简单的概念:

JWT 令牌包含了用户信息（或其他数据），并通过数字签名来保证这些信息的完整性和真实性。

具体来说，JWT 令牌由三部分组成（用 . 分隔）：

头部（Header）：说明签名算法（比如 HMAC、RSA 等）。
载荷（Payload）：存放实际要传递的信息（比如用户 ID、角色、过期时间等，这些就是 “用户信息”）。
签名（Signature）：用头部指定的算法，结合服务器的密钥（或私钥），对 “头部 + 载荷” 进行加密生成的数字签名。

所以，JWT 不只是数字签名，而是 “信息 + 签名” 的组合体。签名的作用是：

证明载荷里的信息没被篡改（因为篡改后签名会失效）；
证明信息确实来自可信的服务器（因为只有服务器有密钥能生成正确的签名）。

简单讲，JWT 就像一封 “带防伪签名的信”：信里写了内容（用户信息），信封上的签名（数字签名）保证信没被拆过、没被改，且确实是发件人（服务器）发的。

JWT可以使用HMAC算法或使用RSA的公钥/私钥对来签名，防止被篡改。官网：https://jwt.io/
JWT 令牌的优点：
jwt 基于json，非常方便解析。
可以在令牌中自定义丰富的内容，易扩展。
通过非对称加密算法及数字签名技术，JWT防止篡改，安全性高。
资源服务使用JWT可不依赖认证服务即可完成授权。
缺点：
JWT 令牌较长，占存储空间比较大

总结

到此这篇关于Spring Security Oauth2整合JWT的详细步骤和核心配置的文章就介绍到这了,更多相关Spring Security Oauth2整合JWT内容请搜索编程客栈(www.devze.com)以前的文章或继续浏览下面的相关文章希望大家以后多多支持编程客栈(www.devze.com)！

继续阅读：spring security oauth2 jwt spring security oauth2 jwt如何理解 springsecurity+oauth2+jwt

Spring Security Oauth2整合JWT的详细步骤和核心配置

目录

先说步骤：

1. 依赖引入

2. 核心配置

2.1 JWT 工具类

2.2 OAuth2 配置（授权服务器）

2.3 资源服务器配置

2.4 Spring Security 配置

3. 测试接口

4. 测试流程

4.1 获取令牌

4.2 访问受保护资源

关键注意事项

总结

更多精彩内容

精彩评论

最新开发

C++分布式语音识别服务实践方案

C#屏幕录制中遇到黑屏问题的原因和解决方法

C#利用.NET实现Word文档到HTML的高效转换

SpringBoot Maven的操作与配置图文教程

Spring Boot 整合第三方组件Redis、MyBatis、Kafka 实战案例指南

开发排行榜

springboot后端存储富文本内容的思路与步骤(含图片内容)

PyCharm运行python测试,报错“没有发现测试”/“空套件”的解决

return base64.b64encode(b).decode(

基于C语言实现钻石棋游戏的示例代码

Sublime Text 3解决中文乱码问题（实测可用）