当前位置：首页 > news >正文

Spring Boot 3 + Security 6实战：从零搭建一个带JWT和Redis的登录认证系统（附完整源码）

news 2026/5/26 0:17:29

Spring Boot 3与Security 6深度整合：构建现代化JWT认证体系的最佳实践

在当今快速发展的互联网应用中，安全认证系统如同数字世界的守门人，保护着用户数据与应用资源。Spring Boot 3与Spring Security 6的强强联合，为开发者提供了一套既强大又灵活的认证授权解决方案。本文将带您深入探索如何利用JWT与Redis构建一个既安全又高效的现代化认证系统，特别适合那些希望掌握最新技术栈的初中级开发者。

1. 环境准备与项目初始化

构建一个安全的认证系统始于正确的项目配置。Spring Boot 3带来了诸多改进，而Spring Security 6则彻底改变了传统的配置方式。让我们从创建一个干净的项目开始：

spring init --dependencies=web,security,data-redis,validation,lombok jwt-auth-demo

关键依赖说明：

依赖项	版本	作用
Spring Boot Starter Security	3.x	提供核心安全功能
Spring Data Redis	3.x	Redis集成支持
JJWT	0.11.5	JWT生成与验证
Lombok	1.18.28	简化样板代码

在application.yml中配置Redis连接和JWT参数：

spring: redis: host: localhost port: 6379 security: jwt: secret: your-256-bit-secret expiration: 3600 # 1小时过期

提示：生产环境中务必使用加密的密钥库管理JWT secret，而非明文存储在配置文件中

2. 用户模型与数据持久化

用户认证的核心是用户数据的正确管理。我们采用分层架构设计用户模块：

@Entity @Data @NoArgsConstructor public class User { @Id private String username; private String password; @ElementCollection(fetch = FetchType.EAGER) private Set<String> roles = new HashSet<>(); }

密码存储的安全至关重要，Spring Security提供了多种PasswordEncoder实现：

@Bean public PasswordEncoder passwordEncoder() { return new BCryptPasswordEncoder(); // 推荐使用BCrypt算法 }

用户服务层应包含以下核心方法：

用户注册（包含密码加密）
根据用户名查询用户
角色权限管理
密码更新与验证

3. JWT认证流程深度解析

JWT(JSON Web Token)已成为现代应用认证的事实标准。其核心优势在于无状态和自包含性。让我们分解JWT的生成与验证过程：

JWT生成流程：

用户提交凭据（用户名/密码）
服务器验证凭据有效性
生成包含用户身份信息的JWT
签名并设置过期时间
返回给客户端存储

关键JWT工具类实现：

public class JwtUtils { private static final SecretKey SECRET_KEY = Keys.hmacShaKeyFor( Decoders.BASE64.decode(jwtSecret)); public static String generateToken(String username) { return Jwts.builder() .setSubject(username) .setIssuedAt(new Date()) .setExpiration(new Date(System.currentTimeMillis() + expiration * 1000)) .signWith(SECRET_KEY, SignatureAlgorithm.HS256) .compact(); } public static boolean validateToken(String token) { try { Jwts.parserBuilder() .setSigningKey(SECRET_KEY) .build() .parseClaimsJws(token); return true; } catch (JwtException e) { log.error("Invalid JWT: {}", e.getMessage()); return false; } } }

4. Redis集成与状态管理

虽然JWT本身是无状态的，但实际应用中我们常需要一些状态控制。Redis的引入解决了以下关键问题：

Token主动失效（用户登出）
防止Token盗用
用户信息缓存
并发登录控制

Redis数据结构设计：

Key格式	值类型	说明	过期时间
auth:token:{username}	String	当前有效token	同JWT过期时间
auth:user:{username}	Hash	用户详细信息	长期有效

实现Token续期机制：

public void refreshToken(String username, String token) { // 设置与JWT相同的过期时间 redisTemplate.opsForValue().set( "auth:token:" + username, token, Duration.ofSeconds(jwtExpiration) ); }

5. Spring Security 6配置实战

Spring Security 6摒弃了传统的WebSecurityConfigurerAdapter方式，采用了更灵活的组件化配置。以下是核心安全配置：

@Configuration @EnableWebSecurity public class SecurityConfig { @Bean public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception { http .csrf(csrf -> csrf.disable()) .sessionManagement(session -> session.sessionCreationPolicy(SessionCreationPolicy.STATELESS)) .authorizeHttpRequests(auth -> auth .requestMatchers("/api/auth/**").permitAll() .anyRequest().authenticated() ) .addFilterBefore(jwtAuthFilter, UsernamePasswordAuthenticationFilter.class); return http.build(); } @Bean public WebSecurityCustomizer webSecurityCustomizer() { return web -> web.ignoring() .requestMatchers("/swagger-ui/**", "/v3/api-docs/**"); } }

关键变化与优势：

Lambda DSL配置更简洁
组件化设计更灵活
更好的与现代认证协议集成
更清晰的异常处理机制

6. 认证过滤器实现

认证流程的核心是过滤器的正确实现。我们需要两个关键过滤器：

登录认证过滤器：处理用户登录请求
JWT验证过滤器：验证每个请求的JWT有效性

JWT认证过滤器示例：

public class JwtAuthFilter extends OncePerRequestFilter { @Override protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) { String token = resolveToken(request); if (token == null) { chain.doFilter(request, response); return; } try { if (jwtUtils.validateToken(token)) { String username = jwtUtils.getUsernameFromToken(token); UserDetails userDetails = loadUserFromCacheOrDb(username); UsernamePasswordAuthenticationToken authentication = new UsernamePasswordAuthenticationToken( userDetails, null, userDetails.getAuthorities()); authentication.setDetails( new WebAuthenticationDetailsSource().buildDetails(request)); SecurityContextHolder.getContext().setAuthentication(authentication); } } catch (JwtException e) { SecurityContextHolder.clearContext(); sendError(response, "Invalid token"); return; } chain.doFilter(request, response); } }

7. 测试与验证策略

完善的认证系统需要全面的测试覆盖。我们采用分层测试策略：

单元测试重点：

JWT生成与验证逻辑
密码编码器行为
Redis操作原子性

集成测试场景：

@Test void testLoginFlow() { // 注册新用户 registerUser("test", "password"); // 登录获取token String token = loginAndGetToken("test", "password"); // 使用token访问受保护资源 given() .header("Authorization", "Bearer " + token) .when() .get("/api/protected") .then() .statusCode(200); // 测试无效token given() .header("Authorization", "Bearer invalid.token.here") .when() .get("/api/protected") .then() .statusCode(401); }

性能考量：