Spring Security 및 JWT로 Java Rest API를 확보합니다

스프링 부팅 애플리케이션에서 JWT 기반 REST API 보안 메커니즘을 구현하려면 우선 서버가 사용자 로그인 한 후 JWT를 발행한다는 것을 이해해야합니다. 클라이언트는 후속 요청의 승인 헤더에서 토큰을 전달하고 서버는 사용자 정의 필터를 통해 토큰의 유효성을 확인합니다. 2. POM.XML의 스프링 부트 스타터 보안, 스프링 보트 스타터 -WEB 및 JJWT-API, JJWT-IMPL 및 JJWT-JACKSON 의존성 추가; 3. 사용자 이름, 만료 시간을 추출하고 토큰을 생성하고 토큰이 유효한지 확인하는 방법을 포함하여 JWTutil 도구 클래스를 생성, 구문 분석 및 확인합니다. 4. JWTREQUESTFILTER 쓰기는 OnePerRequestFilter를 상속하고 요청에서 Bearer 토큰을 추출하고 사용자 이름을 구문 분석하고 사용자 세부 사항을로드합니다. 토큰이 유효한 경우 인증을 SecurityContext로 설정합니다. 5. SecurityConfig 클래스를 구성하고, CSRF를 비활성화하고, 릴리스에 설정 /인증 및 /등록 경로를 비활성화하고, 기타 요청이 인증이 필요하며, 정찰 세션 관리를 구성하여 JWTREQUESTFILTER를 필터 체인에 추가합니다. 6. 인증 요청을 처리하고 AuthenticationManager를 통한 자격 증명을 확인하고 JWT를 생성하며 성공 후 AuthReponse를 반환 할 수있는 AuthController를 제공합니다. 7. 인증을 위해 사용자 정보를로드하기 위해 userDetailsService를 구현합니다. 8. 보안 모범 사례에는 HTTPS 사용, 하드 코딩 키 방지, 합리적인 만료 시간 설정, 페이로드에 민감한 정보 저장, 발행자 및 청중 확인 및 분산 시스템에서 JWK를 사용하는 것이 포함됩니다. Spring Security 및 JWT를 통합함으로써 무국적 및 확장 가능한 보안 아키텍처를 구현하여 후속 역할 권한을 지원하고 새로 고침 토큰 메커니즘을 지원할 수 있습니다.

Java REST API 보안은 현대 웹 애플리케이션에서 특히 JWT (JSON Web Tokens)와 같은 무국적자 인증 메커니즘을 사용할 때 중요한 요구 사항입니다. JWT와 결합 된 Spring Security는 엔드 포인트를 보호 할 수있는 강력하고 유연한 방법을 제공합니다. 스프링 부팅 응용 프로그램에서 효과적으로 구현하는 방법은 다음과 같습니다.

1. 아키텍처 이해

코드로 다이빙하기 전에 흐름을 이해하는 것이 중요합니다.

• 사용자는 로그인 자격 증명 (예 : 사용자 이름 및 비밀번호)을 보냅니다.
• 서버는이를 확인하고 JWT를 반환합니다.
• 클라이언트는 후속 요청에 대한 Authorization 헤더 에이 JWT를 포함합니다 ( Bearer <token></token> ).
• 서버는 액세스를 허용하기 전에 필터를 사용하여 각 요청에서 토큰을 확인합니다.

Spring Security는 인증 및 승인을 처리하는 반면 사용자 정의 필터는 JWT의 검증 요청을 가로 둡니다.

2. 필요한 종속성을 추가하십시오

pom.xml 에는 다음을 포함시킵니다.

 <의존성>
    <의존성>
        <groupid> org.springframework.boot </groupid>
        <artifactid> 스프링 부트 스타터-보안 </artifactid>
    </의존성>
    <의존성>
        <groupid> org.springframework.boot </groupid>
        <artifactid> 스프링 부트 스타터 -web </artifactid>
    </의존성>
    <의존성>
        <groupid> io.jsonwebtoken </groupid>
        <artifactid> jjwt-api </artifactid>
        <버전> 0.11.5 </버전>
    </의존성>
    <의존성>
        <groupid> io.jsonwebtoken </groupid>
        <artifactid> jjwt-impl </artifactid>
        <버전> 0.11.5 </버전>
        <Scope> 런타임 </scope>
    </의존성>
    <의존성>
        <groupid> io.jsonwebtoken </groupid>
        <artifactid> jjwt-jackson </artifactid>
        <버전> 0.11.5 </버전>
        <Scope> 런타임 </scope>
    </의존성>
</의존성>

3. JWT 유틸리티 클래스를 만듭니다

이 클래스는 토큰 생성, 검증 및 추출을 처리합니다.

 @요소
공개 클래스 jwtutil {

    개인 최종 문자열 Secret_key = "yoursecretkeyThatisLongEnoughforhs512"; // 강한 키를 사용합니다
    개인 최종 int expiration_time = 86400000; // 24 시간

    public String extractusername (문자열 토큰) {
        Return Extract -Claim (Token, 주장 :: getSubject);
    }

    공개 날짜 ExtractExpiration (문자열 토큰) {
        Return Extract -Claim (토큰, 주장 :: getexpiration);
    }

    public <t> t ExtractCleaim (문자열 토큰, 함수 <CLAMESS, T> CLAINGRESOLVER) {
        최종 클레임 주장 = ExtractAllClaims (토큰);
        return claimresolver.apply (클레임);
    }

    개인 클레임 추출 AlxtallClaims (String Token) {
        return jwts.parser (). setSigningkey (Secret_key) .parseclaimsjws (token) .getBody ();
    }

    개인 부울 istokenexpired (문자열 토큰) {
        return extractexpiration (토큰).
    }

    public string generateToken (userDetails userDetails) {
        map <string, object> cairms = new Hashmap <> ();
        return createToken (claims, userDetails.getUserName ());
    }

    개인 문자열 createToken (map <string, object> cairms, string giver) {
        return jwts.builder ()
                .
                .SetSubject (주제)
                .SetIssuedat (새 날짜 (System.CurrentTimeMillis ()))
                .setexpiration (새 날짜 (System.CurrentTimeMillis () Expiration_Time)))
                .signwith (signaturealgorithm.hs512, secret_key)
                .콤팩트();
    }

    public boolean validAteToken (String token, userDetails userDetails) {
        최종 문자열 username = extractusername (토큰);
        return (username.equals (userdetails.getusername ()) &&! istokenexpired (token));
    }
}

4. 사용자 정의 JWT 인증 필터

이 필터는 대부분의 스프링 보안 검사 전에 실행되며 Authorization 헤더에서 JWT를 검증합니다.

 @요소
공개 클래스 jwtrequestfilter는 OnePerRequestFilter를 확장합니다.

    @autowired
    private userDetailsService userDetailSService;

    @autowired
    개인 jwtutil jwtutil;

    @보수
    보호 된 void dofilterinternal (httpservletrequest 요청, httpservletresponse 응답, Filterchain 체인)
            servletexception, ioexception {

        Final String AuthorizationHeader = request.getheader ( "권한 부여");

        문자열 username = null;
        문자열 jwt = null;

        if (supportizationHeader! = null && authorizationHeader.startSwith ( "bearer")) {
            JWT = AuthorizationHeader.SubString (7);
            username = jwtutil.extractusername (jwt);
        }

        if (username! = null && securitycontextholder.getContext (). getAuthentication () == null) {
            userDetails userDetails = this.userDetailsService.loadUserByUserName (사용자 이름);

            if (jwtutil.validateToken (jwt, userDetails)) {
                usernamepasswordauthenticationtoken authtoken = new usernamepasswordauthenticationToken (
                        userDetails, null, userDetails.getAuthorities ());
                authtoken.setDetails (새로운 webAuthenticationDetailsSource (). buildDetails (request));
                SecurityContexTholder.getContext (). setAuthentication (AuthToken);
            }
        }
        Chain.dofilter (요청, 응답);
    }
}

5. 스프링 보안을 구성하십시오

WebSecurityConfigurerAdapter 재정의하거나 최신 버전에서 구성 요소 기반 구성을 사용하십시오.

 @구성
@enablewebsecurity
Public Class SecurityConfig 확장 WebSecurityConfigurerAdapter {

    @autowired
    private userDetailsService userDetailSService;

    @autowired
    개인 jwtrequestfilter jwtrequestfilter;

    @콩
    public passwordencoder passwordencoder () {
        새로운 bcryptpasswordencoder ()를 반환합니다.
    }

    @보수
    보호 된 void configure (authenticationManagerBuilder Auth)는 예외를 던집니다.
        auth.userDetailsService (userDetailsService) .PasswordEncoder (passwordEncoder ());
    }

    @콩
    @보수
    public authenticationManager authenticationManagerBean ()이 예외 {
        return super.authenticationManagerBean ();
    }

    @보수
    보호 된 void configure (httpsecurity http)는 예외 {
        http.csrf (). disable ()
            .authorizerequests ()
                .AntMatchers ( "/Authenticate"). permitAll ()
                .AntMatchers ( "/register"). permitAll ()
                .AnyRequest (). Authenticated ()
            .그리고()
            .SessionManagement ()
                .SessionCreationPolicy (SessionCeationPolicy.stationseless);

        http.addfilterbefore (jwtrequestfilter, usernamepasswordauthenticationfilter.class);
    }
}

참고 : Spring Boot 3에서는 WebSecurityConfigurerAdapter 확장하는 대신 SecurityFilterChain Bean을 사용하십시오.

6. 인증 엔드 포인트를 만듭니다

 @RestController
공개 클래스 AuthController {

    @autowired
    Private AuthenticationManager AuthenticationManager;

    @autowired
    private userDetailsService userDetailSService;

    @autowired
    개인 jwtutil jwtutil;

    @PostMapping ( "/Authenticate")
    공개 응답 <?> createAuthenticationToken (@RequestBody AuthRequest AuthRequest) 예외 {
        노력하다 {
            AuthenticationManager.authenticate (
                새로운 usernamepasswordauthenticationToken (authRequest.getUserName (), authRequest.getPassword ())
            );
        } catch (badcredentialsexception e) {
            새로운 예외를 던지십시오 ( "잘못된 사용자 이름 또는 비밀번호", e);
        }

        최종 사용자 데일 userDetails = userDetailsService.loadUserByUserName (authRequest.getUername ());
        최종 문자열 jwt = jwtutil.generateToken (userDetails);

        return responseentity.ok (New AuthReponse (JWT));
    }
}

DTOS와 함께 :

 공개 수업 인증 {
    개인 문자열 사용자 이름;
    개인 문자열 비밀번호;
    // getters and setters
}

공개 클래스 authrresponse {
    개인 문자열 토큰;
    public authResponse (문자열 토큰) {this.token = 토큰; }
    // getter
}

7. userDetailsService 구현

 @서비스
공개 클래스 MyUserDetailsService 구현 userDetailsService {

    @autowired
    개인 userpository userrepository;

    @보수
    public userDetails loadUserByUserName (String username) {
        user user = userreepository.findbyusername (사용자 이름)
                .ORELSETHROW (() -> 새로운 UserNamEnotFoundException ( "User Found"));

        새로운 org.springframework.security.core.userdetails.user를 반환합니다.
                user.getusername (), user.getpassword (), new ArrayList <> ());
    }
}

8. 모범 사례 및 보안 팁

• 생산에서 HTTPS를 사용하십시오 - JWT는 민감합니다.
• Secret Key를 안전하게 유지하십시오 . 소스에서 결코 하드 코드를하지 마십시오. 환경 변수 또는 비밀 관리 도구를 사용하십시오.
• 합리적인 토큰 만료 시간 설정 -새로 고침 토큰이있는 단기 토큰이 더 좋습니다.
• JWT 페이로드에 민감한 데이터를 저장하지 마십시오 . 암호화되지 않은 Base64 인코딩입니다.
• 생산 등급 앱에서 발행자 및 청중 청구를 확인하십시오 .
• 분산 시스템에 JWK (JSON Web Key Sets)를 사용하는 것을 고려하십시오.

요약

Spring Security와 JWT를 결합하면 REST API를 확보 할 수있는 깨끗하고 무국적 방법을 얻을 수 있습니다. 주요 구성 요소는 다음과 같습니다.

• 토큰 생성/검증을위한 JWT 유틸리티
• 요청을 가로 채고 인증하는 필터
• 적절한 스프링 보안 구성
• 토큰을 발행하기 위해 로그인 엔드 포인트

이 설정은 널리 사용되고 확장 가능하며 프론트 엔드 프레임 워크 및 모바일 앱과 잘 통합됩니다.

기본적으로 재단이 설치되면 역할, 권한을 확장하거나 새로 고침 토큰을 추가 할 수 있습니다.

위 내용은 Spring Security 및 JWT로 Java Rest API를 확보합니다의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!