利用 jwt 可以获取用户的额外信息?
作者 |单一色调责编 | 张文头图| CSDN 下载自视觉中国来源 | JAVA日知录(ID:javadaily)今天内容主要是解决一个问题:如何在 jwt 中添加用户的额外信息...
作者 | 单一色调 责编 | 张文
头图 | CSDN 下载自视觉中国
来源 | JAVA日知录(ID:javadaily)
今天内容主要是解决一个问题:如何在 jwt 中添加用户的额外信息并在资源服务器中获取这些数据。
涉及的小问题有以下三个:
如何在返回的 jwt 中添加自定义数据;
如何在 jwt 中添加用户的额外数据,比如用户 id、手机号码;
如何在资源服务器中取出这些自定义数据。
下面我们分别来看如何实现。
如何在返回的 jwt 中添加自定义数据
这个问题比较简单,只要按照如下两步即可:
1. 编写自定义 token 增强器
package com.javadaily.auth.security;
import org.springframework.security.oauth2.common.DefaultOAuth2AccessToken;import org.springframework.security.oauth2.common.OAuth2AccessToken;import org.springframework.security.oauth2.provider.OAuth2Authentication;import org.springframework.security.oauth2.provider.token.store.JwtAccessTokenConverter;
import java.util.HashMap;import java.util.Map;
/** * <p> * <code>JwtTokenEnhancer</code> * </p> * Description: * 自定义Token增强 * @author javadaily * @date 2020/7/4 15:56 */public class CustomJwtTokenConverter extends JwtAccessTokenConverter{ @Override public OAuth2AccessToken enhance(OAuth2AccessToken oAuth2AccessToken, OAuth2Authentication authentication) { Object principal = authentication.getUserAuthentication().getPrincipal(); final Map<String,Object> additionalInformation = new HashMap<>(4); additionalInformation.put("author","java日知录"); additionalInformation.put("weixin","javadaily"); ((DefaultOAuth2AccessToken) oAuth2AccessToken).setAdditionalInformation(additionalInformation); return super.enhance(oAuth2AccessToken,authentication); }}
2. 在认证服务器 AuthorizationServerConfig 中配置自定义 token 增强器。
@Beanpublic JwtAccessTokenConverter jwtTokenEnhancer(){ //自定义jwt 输出内容,若不需要就直接使用JwtAccessTokenConverter JwtAccessTokenConverter converter = new CustomJwtTokenConverter(); // 设置对称签名 converter.setSigningKey("javadaily"); return converter;}
通过上述两步配置,我们生成的 jwt token 中就可以带上 author 和 weixin 两个属性了,效果如下:
有的同学可能要问,为什么配置了这个增强器就会生成额外属性了呢?
这是因为,我们会使用 DefaultTokenServices#createAccessToken(OAuth2Authentication authentication,OAuth2RefreshToken refreshToken)方法时有如下一段代码:
private OAuth2AccessToken createAccessToken(OAuth2Authentication authentication, OAuth2RefreshToken refreshToken) { DefaultOAuth2AccessToken token = new DefaultOAuth2AccessToken(UUID.randomUUID().toString()); int validitySeconds = getAccessTokenValiditySeconds(authentication.getOAuth2Request()); if (validitySeconds > 0) { token.setExpiration(new Date(System.currentTimeMillis() + (validitySeconds * 1000L))); } token.setRefreshToken(refreshToken); token.setScope(authentication.getOAuth2Request().getScope());
return accessTokenEnhancer != null ? accessTokenEnhancer.enhance(token, authentication) : token;}
如果系统配置了 accessTokenEnhancer 就会调用 accessTokenEnhancer 的enhance() 方法进行token增强。我们是继承了 JwtAccessTokenConverter,所以会在 jwt token 的基础上增加额外的信息。
如何在 jwt 中添加用户的额外数据
要添加额外数据我们还是要从 CustomJwtTokenConverter 想办法,要添加用户的额外数据比如用户 id 和手机号码那就必须要在用户中包含这些信息。
原来我们自定义的 UserDetailServiceImpl 中返回的是默认的 UserDetails。里面只包含用户名属性,即username,代码调试效果如下:
所以我们这里需要自定一个 UserDetails,包含用户的额外属性。然后在 UserDetailServiceImpl 中再返回我们这个自定义对象,最后在 enhance 方法中强转成自定义用户对象并添加额外属性。
实现顺序如下:
1. 自定义UserDetails
import lombok.Getter;import org.springframework.security.core.GrantedAuthority;import org.springframework.security.core.userdetails.User;
import java.util.Collection;
/** * <p> * <code>CustomUser</code> * </p> * Description: * 自定义用户信息 * @author jianzh5 * @date 2020/11/17 15:05 */public class SecurityUser extends User { @Getter private Integer id;
@Getter private String mobile;
public SecurityUser(Integer id, String mobile, String username, String password, Collection<? extends GrantedAuthority> authorities) { super(username, password, authorities); this.id = id; this.mobile = mobile; }}
2. 在 UserDetailServiceImpl 中返回自定义对象
private UserDetails buildUserDetails(SysUser sysUser) {
Set<String> authSet = new HashSet<>();
List<String> roles = sysUser.getRoles();
if(!CollectionUtils.isEmpty(roles)){
roles.forEach(item -> authSet.add(CloudConstant.ROLE_PREFIX + item));
authSet.addAll(sysUser.getPermissions());
}
List<GrantedAuthority> authorityList = AuthorityUtils.createAuthorityList(authSet.toArray(new String[0]));
return new SecurityUser(
sysUser.getId(),
sysUser.getMobile(),
sysUser.getUsername(),
sysUser.getPassword(),
authorityList
);
}
3. 在ehance方法中获取当前用户并设置用户信息
public class CustomJwtTokenConverter extends JwtAccessTokenConverter{ @Override public OAuth2AccessToken enhance(OAuth2AccessToken oAuth2AccessToken, OAuth2Authentication authentication) { SecurityUser securityUser = (SecurityUser) authentication.getUserAuthentication().getPrincipal(); final Map<String,Object> additionalInformation = new HashMap<>(4); additionalInformation.put("userId", securityUser.getId()); additionalInformation.put("mobile", securityUser.getMobile()); ... ((DefaultOAuth2AccessToken) oAuth2AccessToken).setAdditionalInformation(additionalInformation); return super.enhance(oAuth2AccessToken,authentication); }}
如何在资源服务器中获取这些自定义信息
通过上面的配置我们可以往 jwt 的 token 中添加上用户的数据信息,但是在资源服务器中还是获取不到,通过SecurityContextHolder.getContext().getAuthentication().getPrincipal()获取到的用户信息还是只包含用户名。
这里还是得从 token 的转换器入手,默认情况下 JwtAccessTokenConverter 会调用 DefaultUserAuthenticationConverter 中的 extractAuthentication 方法从 token 中获取用户信息。
我们先看看具体实现逻辑:
public class DefaultUserAuthenticationConverter implements UserAuthenticationConverter { ... public Authentication extractAuthentication(Map<String, ?> map) { if (map.containsKey(USERNAME)) { Object principal = map.get(USERNAME); Collection<? extends GrantedAuthority> authorities = getAuthorities(map); if (userDetailsService != null) { UserDetails user = userDetailsService.loadUserByUsername((String) map.get(USERNAME)); authorities = user.getAuthorities(); principal = user; } return new UsernamePasswordAuthenticationToken(principal, "N/A", authorities); } return null; } ...}
在没有注入 UserDetailService 的情况下,oauth2 只会获取用户名 user_name。如果注入了 UserDetailService 就可以返回所有用户信息。
所以这里我们对应的实现方式也有两种:
在资源服务器中也注入 UserDetailService,这种方法不推荐,资源服务器与认证服务器分开的情况下强行耦合在一起,也需要加入用户认证的功能。
扩展DefaultUserAuthenticationConverter,重写extractAuthentication方法,手动取出额外数据,然后在资源服务器配置中将其注入到 AccessTokenConverter 中。
这里我们采用第二种方法实现,实现顺序如下:
1. 自定义 token 解析器,从 jwt token 中解析用户信息。
package com.javadaily.common.security.component;
import com.javadaily.common.security.user.SecurityUser;
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.AuthorityUtils;
import org.springframework.security.oauth2.provider.token.DefaultUserAuthenticationConverter;
import org.springframework.util.StringUtils;
import java.util.Collection;
import java.util.Map;
public class CustomUserAuthenticationConverter extends DefaultUserAuthenticationConverter {
/**
* 重写抽取用户数据方法
* @author javadaily
* @date 2020/11/18 10:56
* @param map 用户认证信息
* @return Authentication
*/
@Override
public Authentication extractAuthentication(Map<String, ?> map) {
if (map.containsKey(USERNAME)) {
Collection<? extends GrantedAuthority> authorities = getAuthorities(map);
String username = (String) map.get(USERNAME);
Integer id = (Integer) map.get("userId");
String mobile = (String) map.get("mobile");
SecurityUser user = new SecurityUser(id, mobile, username,"N/A", authorities);
return new UsernamePasswordAuthenticationToken(user, "N/A", authorities);
}
return null;
}
private Collection<? extends GrantedAuthority> getAuthorities(Map<String, ?> map) {
Object authorities = map.get(AUTHORITIES);
if (authorities instanceof String) {
return AuthorityUtils.commaSeparatedStringToAuthorityList((String) authorities);
}
if (authorities instanceof Collection) {
return AuthorityUtils.commaSeparatedStringToAuthorityList(StringUtils
.collectionToCommaDelimitedString((Collection<?>) authorities));
}
throw new IllegalArgumentException("Authorities must be either a String or a Collection");
}
}
2. 编写自定义token转换器,注入自定义解压器
public class CustomAccessTokenConverter extends DefaultAccessTokenConverter{
public CustomAccessTokenConverter(){ super.setUserTokenConverter(new CustomUserAuthenticationConverter()); }}
3. 在资源服务器中配置类ResourceServerConfig中注入自定义token转换器
@Beanpublic JwtAccessTokenConverter jwtTokenConverter(){ JwtAccessTokenConverter jwtAccessTokenConverter = new JwtAccessTokenConverter(); jwtAccessTokenConverter.setSigningKey("javadaily"); jwtAccessTokenConverter.setAccessTokenConverter(new CustomAccessTokenConverter());
return jwtAccessTokenConverter;}
通过上面三步配置我们再调用 SecurityContextHolder.getContext().getAuthentication().getPrincipal()方法时就可以获取到用户的额外信息了。
当然我们可以再来一个工具类,从上下文中直接获取用户信息:
@UtilityClasspublic class SecurityUtils { /** * 获取Authentication */ public Authentication getAuthentication() { return SecurityContextHolder.getContext().getAuthentication(); }
public SecurityUser getUser(){ Authentication authentication = getAuthentication(); if (authentication == null) { return null; } return getUser(authentication); }
/** * 获取当前用户 * @param authentication 认证信息 * @return 当前用户 */ private static SecurityUser getUser(Authentication authentication) { Object principal = authentication.getPrincipal(); if(principal instanceof SecurityUser){ return (SecurityUser) principal; } return null; }}
以上,希望对你有所帮助。
更多精彩推荐
☞当运行 Linux 内核的机器死机时...
☞Rust 2020 调查报告出炉,95%的开发者吐槽Rust难学
☞从“卡脖子”到“主导”,国产数据库 40 年的演变!
☞毫秒间完成行为分析,飞猪端智能技术实践!
☞Windows 拥抱 Android,微软在下怎样的一步棋?
☞中芯国际再曝内讧,联席 CEO 梁孟松愤然辞职
点分享点点赞点在看
更多推荐