ShiroJwt

ShiroJwt

عنوان الواجهة الأمامية: https://github.com/wang926454/VueStudy/tree/master/VueStudy08-JWT

عرض الأسئلة

1. #14 هل ستؤدي الطلبات المتكررة إلى إنشاء رموز متعددة؟
2. #19 مشكلة الدخول الموحد (SSO) عبر النطاقات
3. #29 المعالجة المتزامنة لتحديث الرمز المميز

إذا كان لديك أي أسئلة، يرجى مسح الرمز والانضمام إلى مجموعة QQ للتواصل: 779168604

المتعلقة بالمشروع

• جافا دوك: https://apidoc.gitee.com/dolyw/ShiroJwt
• مستند الواجهة: https://note.dolyw.com/shirojwt/ShiroJwt-Interface.html
• دليل البرنامج التعليمي: https://note.dolyw.com/shirojwt
• التغيير إلى نموذج قاعدة البيانات (MySQL): https://note.dolyw.com/shirojwt/ShiroJwt02-MySQL.html
• حل مشكلة عدم إمكانية إرجاع الخطأ 401 مباشرة: https://note.dolyw.com/shirojwt/ShiroJwt03-401.html
• تنفيذ وظيفة Shiro's Cache (Redis): https://note.dolyw.com/shirojwt/ShiroJwt04-Redis.html

مقدمة المشروع

1. واجهة برمجة التطبيقات المريحة
2. يقوم Maven بدمج Mybatis Generator (الهندسة العكسية)
3. Shiro + Java-JWT يطبق آلية المصادقة عديمة الحالة (الرمز المميز)
4. تشفير كلمة المرور (باستخدام AES-128 + Base64)
5. دمج Redis (Jedis)
6. إعادة كتابة آلية التخزين المؤقت Shiro (Redis)
7. حفظ معلومات RefreshToken في Redis (مما يجعل JWT قابلاً للتحكم)
8. قم بتحديث AccessToken تلقائيًا بناءً على RefreshToken

حول Shiro + Java-JWT لتنفيذ آلية المصادقة عديمة الحالة (الرمز المميز)

1. أولاً، قم بنشر اسم المستخدم وكلمة المرور إلى المستخدم/تسجيل الدخول لتسجيل الدخول. في حالة النجاح، سيتم إرجاع AccessToken المشفر. إذا فشل، سيتم إرجاع خطأ 401 مباشرة (الحساب أو كلمة المرور غير صحيحة).
2. ما عليك سوى إحضار AccessToken معك للزيارات المستقبلية.
3. تقوم عملية المصادقة بشكل أساسي بإعادة كتابة مرشح إدخال Shiro JWTFilter ( BasicHttpAuthenticationFilter ) لتحديد ما إذا كان رأس الطلب يحتوي على حقل التفويض .
4. إذا كانت الإجابة بنعم، فقم بإجراء مصادقة تسجيل الدخول إلى Shiro Token وتفويضه (كل طلب وصول مستخدم يتطلب إذنًا يجب أن يضيف حقل التفويض في الرأس لتخزين AccessToken )، إذا لم يكن الأمر كذلك، فاستخدم الوصول المباشر كزائر (إذا كان هناك تحكم في الأذونات ، سيتم اعتراض وصول الزوار)

فيما يتعلق بـ AES-128 + Base64، عندما تكون كلمات مرور النص العادي لمستخدمين متماثلة ومشفرة، سيتبين أن هناك كلمات مرور نص مشفر لها نفس البنية في قاعدة البيانات.

معظمهم يحل هذه المشكلة على شكل MD5 + salt (التفاصيل من Baidu). أستخدم AES-128 + Base64 لتشفير كلمة المرور على شكل حساب + كلمة مرور، لأن الحساب فريد، ولن تظهر نفس البنية مشكلة كلمة المرور السرية

حول دمج فئات أدوات Jedis مع SpringBoot

في الأصل، تم حقن JedisUtil مباشرة كفاصوليا ، وفي كل مرة يتم استخدامه، يمكن حقنه مباشرة @Autowired ، ومع ذلك، بعد إعادة كتابة CustomCache الخاص بـ Shiro ، لا يمكن حقن JedisUtil ، لذلك تم تغييره إلى حقن ثابت في JedisPool. لا تزال فئة أدوات JedisUtil تستدعي الطريقة @Autowired مباشرة

حول حفظ معلومات RefreshToken في Redis (جعل JWT قابلاً للتحكم)

1. بعد تمرير مصادقة تسجيل الدخول، يتم إرجاع معلومات AccessToken ( يتم حفظ الطابع الزمني الحالي ورقم الحساب في AccessToken )
2. في الوقت نفسه، قم بتعيين RefreshToken في Redis مع الحساب باعتباره المفتاح والقيمة باعتبارها الطابع الزمني الحالي (وقت تسجيل الدخول)
3. الآن، أثناء المصادقة، يجب ألا تكون صلاحية AccessToken قد انتهت، ويجب أن يكون RefreshToken المقابل موجودًا في Redis ، ويجب أن يكون الطابع الزمني RefreshToken متسقًا مع الطابع الزمني في معلومات AccessToken قبل تمرير المصادقة، وهذا يمكن أن يحقق إمكانية التحكم في JWT.
4. إذا قمت بتسجيل الدخول مرة أخرى وحصلت على AccessToken جديد، فلا يمكن مصادقة AccessToken القديم، لأن معلومات الطابع الزمني RefreshToken المخزنة في Redis ستكون متوافقة فقط مع الطابع الزمني الموجود في أحدث معلومات AccessToken التي تم إنشاؤها ، لذلك يمكن لكل مستخدم فقط استخدام أحدث AccessToken شهادة
5. يمكن أيضًا استخدام RefreshToken الخاص بـ Redis لتحديد ما إذا كان المستخدم متصلاً بالإنترنت. إذا تم حذف Redis RefreshToken ، فلن يتمكن AccessToken المطابق لـ RefreshToken من تمرير المصادقة، وهذا يعادل التحكم في تسجيل دخول المستخدم وإزالة المستخدم .

حول تحديث AccessToken تلقائيًا استنادًا إلى RefreshToken

1. وقت انتهاء صلاحية AccessToken نفسه هو 5 دقائق (قابل للتكوين في ملف التكوين)، ووقت انتهاء صلاحية RefreshToken هو 30 دقيقة (قابل للتكوين في ملف التكوين)
2. عند مرور 5 دقائق بعد تسجيل الدخول، ستنتهي صلاحية AccessToken الحالي. إذا أحضرت AccessToken مرة أخرى للوصول إلى JWT، فسيتم طرح استثناء TokenExpiredException ، للإشارة إلى انتهاء صلاحية الرمز المميز .
3. ابدأ في تحديد ما إذا كان سيتم تحديث AccessToken أم لا. يستعلم Redis عما إذا كان RefreshToken الخاص بالمستخدم الحالي موجودًا ، وما إذا كان الطابع الزمني الذي يحمله RefreshToken هذا متوافقًا مع الطابع الزمني الذي يحمله AccessToken منتهي الصلاحية.
4. إذا كان موجودًا ومتسقًا، فقم بتحديث AccessToken، وقم بتعيين وقت انتهاء الصلاحية على 5 دقائق (قابل للتكوين في ملف التكوين)، والطابع الزمني على أحدث طابع زمني، وقم أيضًا بتعيين الطابع الزمني في RefreshToken على أحدث طابع زمني، وقم بتحديث انتهاء الصلاحية الوقت إلى 30 مرة أخرى انتهاء الصلاحية بالدقائق (قابل للتكوين في ملف التكوين).
5. أخيرًا، يتم تخزين AccessToken المحدث في حقل التفويض في رأس الاستجابة وإعادته (تحصل الواجهة الأمامية عليه وتستبدله، وتستخدم AccessToken الجديد للوصول في المرة القادمة)

هندسة البرمجيات

1. إطار عمل SpringBoot + Mybatis الأساسي
2. المكون الإضافي PageHelper + المكون الإضافي العالمي لـ Mapper
3. Shiro + آلية المصادقة عديمة الجنسية Java-JWT
4. إطار عمل التخزين المؤقت Redis (Jedis).

البرنامج التعليمي التثبيت

1. كلمة مرور حساب قاعدة البيانات الافتراضية هي الجذر. إذا تم تعديلها، يرجى تعديل ملف التكوين application.yml بنفسك.
2. بعد فك الضغط، قم بتنفيذ البرنامج النصي srcmainresourcessqlMySQL.sql لإنشاء قاعدة البيانات والجدول
3. يحتاج Redis إلى تثبيت خدمة Redis بنفسه، وتكون كلمة مرور المنفذ هي الافتراضية
4. يمكن بدء تشغيل SpringBoot مباشرةً باستخدام أداة الاختبار PostMan

تعليمات الاستخدام

استخدم Mybatis Generator (قالب مرئي مخصص لإنشاء التعليمات البرمجية الأساسية بسرعة: https://github.com/wang926454/ViewGenerator)

قم أولاً بتكوين الملف srcmainresourcesgeneratorgeneratorConfig.xml (التكوين الافتراضي موجود ضمن الحزمة العكسية في المستوى الأدنى من الحزمة الأصلية)، وقم بتنفيذه في نافذة سطر الأوامر لدليل مستوى pom.xml ( أي ضمن الدليل الجذر للمشروع) (الفرضية هي أنه تم تكوين mvn) (يمكن تنفيذ IDEA مباشرة عن طريق النقر المزدوج في نافذة Maven Plugins)

mvn mybatis-generator:generate

استخدام PostMan (اكتساب الرمز المميز واستخدامه)

先设置Content - Type为application / json 

然后填写请求参数帐号密码信息

进行请求访问，请求访问成功

点击查看Header信息的Authorization属性即是Token字段

访问需要权限的请求将Token字段放在Header信息的Authorization属性访问即可

 Token的自动刷新也是在Token失效时返回新的Token在Header信息的Authorization属性

بناء مرجع

1. شكرًا لـ SmithCruise على البرنامج التعليمي البسيط Shiro+JWT+Spring Boot المريح: https://www.jianshu.com/p/f37f8c295057
2. شكرًا لـ Wang Hongyu على [البدء مع Shiro] (1) استخدام Redis كمدير ذاكرة تخزين مؤقت: https://blog.csdn.net/why15732625998/article/details/78729254
3. حقيبة شكرًا لك؟ Springboot الخاص بـ Breeder (7). يدمج Springboot jedis لتنفيذ ذاكرة التخزين المؤقت لـ redis: http://www.cnblogs.com/GodHeng/p/9301330.html
4. شكرًا لـ W_Z_W_888 على الطرق الثلاث لحقن المتغيرات الثابتة في الربيع واحتياطاتها: https://blog.csdn.net/W_Z_W_888/article/details/79979103
5. بفضل Vue2.0+ElementUI+PageHelper من Heavenly Wind and Cloud لتنفيذ ترحيل صفحات الجدول: https://blog.csdn.net/u012907049/article/details/70237457
6. بفضل محاور Vuejs الخاصة بـ yaxx للحصول على رأس استجابة Http: https://segmentfault.com/a/1190000009125333
7. شكرًا لـ Twilight على حل المشكلة الناتجة عن استخدام رمز تحديث jwt: https://segmentfault.com/a/1190000013151506
8. بفضل معترض شيرو الخاص بـ chuhx، والذي يُرجع بيانات json: https://blog.csdn.net/chuhx/article/details/51148877
9. بفضل yidao620c لقواعد تكوين المعترض المدمج في Shiro: https://github.com/yidao620c/SpringBootBucket/tree/master/springboot-jwt

شارك وساهم

1. شوكة هذا المشروع
2. قم بإنشاء فرع Fet_xxx جديد
3. إرسال الرمز
4. طلب سحب جديد