本篇文章將教大家在 shiro + springBoot 的基礎上整合 JWT （JSON Web Token）
如果對 shiro 如何整合 springBoot 還不瞭解的可以先去看我的上一篇文章 《教你 Shiro 整合 SpringBoot，避開各種坑》

附上原始碼：https://github.com/HowieYuan/shiro

JWT

JSON Web Token（JWT）是一個非常輕巧的規範。這個規範允許我們使用 JWT 在使用者和伺服器之間傳遞安全可靠的資訊。

我們利用一定的編碼生成 Token，並在 Token 中加入一些非敏感資訊，將其傳遞。

一個完整的 Token : eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJmcm9tX3VzZXIiOiJCIiwidGFyZ2V0X3VzZXIiOiJBIn0.rSWamyAYwuHCo7IFAgd1oRpSP7nzL7BF5t7ItqpKViM

在本專案中，我們規定每次請求時，需要在請求頭中帶上 token ，通過 token 檢驗許可權，如沒有，則說明當前為遊客狀態（或者是登陸 login 介面等）

JWTUtil

我們利用 JWT 的工具類來生成我們的 token，這個工具類主要有生成 token 和 校驗 token 兩個方法

生成 token 時，指定 token 過期時間 EXPIRE_TIME 和簽名金鑰 SECRET，然後將 date 和 username 寫入 token 中，並使用帶有金鑰的 HS256 簽名演算法進行簽名

Date date = new Date(System.currentTimeMillis() + EXPIRE_TIME);
Algorithm algorithm = Algorithm.HMAC256(SECRET);
JWT.create()
   .withClaim("username", username)
   //到期時間
   .withExpiresAt(date)
   //建立一個新的JWT，並使用給定的演算法進行標記
   .sign(algorithm);

資料庫表

role: 角色；permission: 許可權；ban: 封號狀態

每個使用者有對應的角色（user，admin），許可權（normal，vip），而 user 角色預設許可權為 normal， admin 角色預設許可權為 vip（當然，user 也可以是 vip）

過濾器

在上一篇文章中，我們使用的是 shiro 預設的許可權攔截 Filter，而因為 JWT 的整合，我們需要自定義自己的過濾器 JWTFilter，JWTFilter 繼承了 BasicHttpAuthenticationFilter，並部分原方法進行了重寫

該過濾器主要有三步：

1. 檢驗請求頭是否帶有 token ((HttpServletRequest) request).getHeader("Token") != null
2. 如果帶有 token，執行 shiro 的 login() 方法，將 token 提交到 Realm 中進行檢驗；如果沒有 token，說明當前狀態為遊客狀態（或者其他一些不需要進行認證的介面）

    @Override
    protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) throws UnauthorizedException {
        //判斷請求的請求頭是否帶上 "Token"
        if (((HttpServletRequest) request).getHeader("Token") != null) {
            //如果存在，則進入 executeLogin 方法執行登入，檢查 token 是否正確
            try {
                executeLogin(request, response);
                return true;
            } catch (Exception e) {
                //token 錯誤
                responseError(response, e.getMessage());
            }
        }
        //如果請求頭不存在 Token，則可能是執行登陸操作或者是遊客狀態訪問，無需檢查 token，直接返回 true
        return true;
    }

    @Override
    protected boolean executeLogin(ServletRequest request, ServletResponse response) throws Exception {
        HttpServletRequest httpServletRequest = (HttpServletRequest) request;
        String token = httpServletRequest.getHeader("Token");
        JWTToken jwtToken = new JWTToken(token);
        // 提交給realm進行登入，如果錯誤他會丟擲異常並被捕獲
        getSubject(request, response).login(jwtToken);
        // 如果沒有丟擲異常則代表登入成功，返回true
        return true;
    }

1. 如果在 token 校驗的過程中出現錯誤，如 token 校驗失敗，那麼我會將該請求視為認證不通過，則重定向到 /unauthorized/**

另外，我將跨域支援放到了該過濾器來處理

Realm 類

依然是我們的自定義 Realm ，對這一塊還不瞭解的可以先看我的上一篇 shiro 的文章

• 身份認證

if (username == null || !JWTUtil.verify(token, username)) {
    throw new AuthenticationException("token認證失敗！");
}
String password = userMapper.getPassword(username);
if (password == null) {
    throw new AuthenticationException("該使用者不存在！");
}
int ban = userMapper.checkUserBanStatus(username);
if (ban == 1) {
    throw new AuthenticationException("該使用者已被封號！");
}

拿到傳來的 token ，檢查 token 是否有效，使用者是否存在，以及使用者的封號情況

• 許可權認證

SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
//獲得該使用者角色
String role = userMapper.getRole(username);
//每個角色擁有預設的許可權
String rolePermission = userMapper.getRolePermission(username);
//每個使用者可以設定新的許可權
String permission = userMapper.getPermission(username);
Set<String> roleSet = new HashSet<>();
Set<String> permissionSet = new HashSet<>();
//需要將 role, permission 封裝到 Set 作為 info.setRoles(), info.setStringPermissions() 的引數
roleSet.add(role);
permissionSet.add(rolePermission);
permissionSet.add(permission);
//設定該使用者擁有的角色和許可權
info.setRoles(roleSet);
info.setStringPermissions(permissionSet);

利用 token 中獲得的 username，分別從資料庫查到該使用者所擁有的角色，許可權，存入 SimpleAuthorizationInfo 中

ShiroConfig 配置類

設定好我們自定義的 filter，並使所有請求通過我們的過濾器，除了我們用於處理未認證請求的 /unauthorized/**

@Bean
public ShiroFilterFactoryBean factory(SecurityManager securityManager) {
    ShiroFilterFactoryBean factoryBean = new ShiroFilterFactoryBean();

    // 新增自己的過濾器並且取名為jwt
    Map<String, Filter> filterMap = new HashMap<>();
    //設定我們自定義的JWT過濾器
    filterMap.put("jwt", new JWTFilter());
    factoryBean.setFilters(filterMap);
    factoryBean.setSecurityManager(securityManager);
    Map<String, String> filterRuleMap = new HashMap<>();
    // 所有請求通過我們自己的JWT Filter
    filterRuleMap.put("/**", "jwt");
    // 訪問 /unauthorized/** 不通過JWTFilter
    filterRuleMap.put("/unauthorized/**", "anon");
    factoryBean.setFilterChainDefinitionMap(filterRuleMap);
    return factoryBean;
}

許可權控制註解 @RequiresRoles， @RequiresPermissions

這兩個註解為我們主要的許可權控制註解, 如

// 擁有 admin 角色可以訪問
@RequiresRoles("admin")

// 擁有 user 或 admin 角色可以訪問
@RequiresRoles(logical = Logical.OR, value = {"user", "admin"})

// 擁有 vip 和 normal 許可權可以訪問
@RequiresPermissions(logical = Logical.AND, value = {"vip", "normal"})

// 擁有 user 或 admin 角色，且擁有 vip 許可權可以訪問
@GetMapping("/getVipMessage")
@RequiresRoles(logical = Logical.OR, value = {"user", "admin"})
@RequiresPermissions("vip")
public ResultMap getVipMessage() {
    return resultMap.success().code(200).message("成功獲得 vip 資訊！");
}

當我們寫的介面擁有以上的註解時，如果請求沒有帶有 token 或者帶了 token 但許可權認證不通過，則會報 UnauthenticatedException 異常，但是我在 ExceptionController 類對這些異常進行了集中處理

@ExceptionHandler(ShiroException.class)
public ResultMap handle401() {
    return resultMap.fail().code(401).message("您沒有許可權訪問！");
}

這時，出現 shiro 相關的異常時則會返回

{
    "result": "fail",
    "code": 401,
    "message": "您沒有許可權訪問！"
}

除了以上兩種，還有 @RequiresAuthentication ，@RequiresUser 等註解

功能實現

使用者角色分為三類，管理員 admin，普通使用者 user，遊客 guest；admin 預設許可權為 vip，user 預設許可權為 normal，當 user 升級為 vip 許可權時可以訪問 vip 許可權的頁面。

具體實現可以看原始碼（開頭已經給出地址）

登陸

登陸介面不帶有 token，當登陸密碼，使用者名稱驗證正確後返回 token。

@PostMapping("/login")
public ResultMap login(@RequestParam("username") String username,
                       @RequestParam("password") String password) {
    String realPassword = userMapper.getPassword(username);
    if (realPassword == null) {
        return resultMap.fail().code(401).message("使用者名稱錯誤");
    } else if (!realPassword.equals(password)) {
        return resultMap.fail().code(401).message("密碼錯誤");
    } else {
        return resultMap.success().code(200).message(JWTUtil.createToken(username));
    }
}

{
    "result": "success",
    "code": 200,
    "message": "eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJleHAiOjE1MjUxODQyMzUsInVzZXJuYW1lIjoiaG93aWUifQ.fG5Qs739Hxy_JjTdSIx_iiwaBD43aKFQMchx9fjaCRo"
}

異常處理

    // 捕捉shiro的異常
    @ExceptionHandler(ShiroException.class)
    public ResultMap handle401() {
        return resultMap.fail().code(401).message("您沒有許可權訪問！");
    }

    // 捕捉其他所有異常
    @ExceptionHandler(Exception.class)
    public ResultMap globalException(HttpServletRequest request, Throwable ex) {
        return resultMap.fail()
                .code(getStatus(request).value())
                .message("訪問出錯，無法訪問: " + ex.getMessage());
    }

許可權控制

• UserController（user 或 admin 可以訪問）
  在介面上帶上 @RequiresRoles(logical = Logical.OR, value = {"user", "admin"})

  • vip 許可權
    再加上@RequiresPermissions("vip")
• AdminController（admin 可以訪問）
  在介面上帶上 @RequiresRoles("admin")
• GuestController（所有人可以訪問）
  不做許可權處理

測試結果