資訊專欄INFORMATION COLUMN
摘要：前言記錄前后端分離的系統應用下應用場景用戶信息傳遞需求緣起照例先看看系統的一張經典架構圖，這張圖參考自網絡在自定義異常，你是怎么處理的中已經對該架構做了簡單說明，這里不再描述。
前言
記錄前后端分離的系統應用下應用場景————用戶信息傳遞
需求緣起照例先看看web系統的一張經典架構圖，這張圖參考自網絡：
在 Ｄubbo 自定義異常，你是怎么處理的？ 中已經對該架構做了簡單說明，這里不再描述。
簡單描述下在該架構中用戶信息(如userId)的傳遞方式：
現在絕大多數的項目都是前后端分離的開發模式，采用token方式進行用戶鑒權:
客戶端(pc，移動端，平板等)首次登錄，服務端簽發token，在token中放入用戶信息(如userId)等返回給客戶端
客戶端訪問服務端接口，需要在頭部攜帶token，跟表單一并提交到服務端
服務端在web層統一解析token鑒權，同時取出用戶信息(如userId)并繼續向底層傳遞，傳到服務層操作業務邏輯
服務端在service層取到用戶信息(如userId)后，執行相應的業務邏輯操作
問題：
為什么一定要把用戶信息(如userId)藏在token中，服務端再解析token取出？直接登錄后向客戶端返回用戶信息(如userId)不是更方便么？
跟用戶強相關的信息是相當敏感的，一般用戶信息(如userId)不會直接明文暴露給客戶端，會帶來風險。
單體應用下用戶信息(如userId)的傳遞流程什么是單體應用? 簡要描述就是web層，service層全部在一個jvm進程中，更通俗的講就是只有一個項目。
登錄簽發 token看看下面的登錄接口偽代碼：
web層接口：
@Loggable(descp = "用戶登錄", include = "loginParam")
@PostMapping("/login")
public BaseResult accountLogin(LoginParam loginParam) {
return mAccountService.login(loginParam);
}
service層接口偽代碼：
public BaseResultlogin(LoginParam param) throws BaseException { //1.登錄邏輯判斷 LoginVo loginVo = handleLogin(param); //2.簽發token String subject = userId; String jwt = JsonWebTokenUtil.issueJWT(UUID.randomUUID().toString(), subject, "token-server", BaseConstants.TOKEN_PERIOD_TIME, "", null, SignatureAlgorithm.HS512); loginVo.setJwt(jwt); return ResultUtil.success(loginVo); }
注意到上述偽代碼中，簽發token時把userId放入客戶標識subject中，簽發到token中返回給客戶端。這里使用的是JJWT生成的token
引入依賴：
io.jsonwebtoken
jjwt
0.9.0
com.fasterxml.jackson.core
jackson-databind
2.8.9
相關工具類JsonWebTokenUtil：
public class JsonWebTokenUtil {
//秘鑰
public static final String SECRET_KEY = BaseConstant.SECRET_KEY;
private static final ObjectMapper MAPPER = new ObjectMapper();
private static CompressionCodecResolver codecResolver = new DefaultCompressionCodecResolver();
//私有化構造
private JsonWebTokenUtil() {
}
/* *
* @Description json web token 簽發
* @param id 令牌ID
* @param subject 用戶標識
* @param issuer 簽發人
* @param period 有效時間(秒)
* @param roles 訪問主張-角色
* @param permissions 訪問主張-權限
* @param algorithm 加密算法
* @Return java.lang.String
*/
public static String issueJWT(String id,String subject, String issuer, Long period,
String roles, String permissions, SignatureAlgorithm algorithm) {
// 當前時間戳
Long currentTimeMillis = System.currentTimeMillis();
// 秘鑰
byte[] secreKeyBytes = DatatypeConverter.parseBase64Binary(SECRET_KEY);
JwtBuilder jwtBuilder = Jwts.builder();
if (StringUtils.isNotBlank(id)) {
jwtBuilder.setId(id);
}
if (StringUtils.isNotBlank(subject)) {
jwtBuilder.setSubject(subject);
}
if (StringUtils.isNotBlank(issuer)) {
jwtBuilder.setIssuer(issuer);
}
// 設置簽發時間
jwtBuilder.setIssuedAt(new Date(currentTimeMillis));
// 設置到期時間
if (null != period) {
jwtBuilder.setExpiration(new Date(currentTimeMillis + period*1000));
}
if (StringUtils.isNotBlank(roles)) {
jwtBuilder.claim("roles",roles);
}
if (StringUtils.isNotBlank(permissions)) {
jwtBuilder.claim("perms",permissions);
}
// 壓縮，可選GZIP
jwtBuilder.compressWith(CompressionCodecs.DEFLATE);
// 加密設置
jwtBuilder.signWith(algorithm,secreKeyBytes);
return jwtBuilder.compact();
}
/**
* 解析JWT的Payload
*/
public static String parseJwtPayload(String jwt){
Assert.hasText(jwt, "JWT String argument cannot be null or empty.");
String base64UrlEncodedHeader = null;
String base64UrlEncodedPayload = null;
String base64UrlEncodedDigest = null;
int delimiterCount = 0;
StringBuilder sb = new StringBuilder(128);
for (char c : jwt.toCharArray()) {
if (c == ".") {
CharSequence tokenSeq = io.jsonwebtoken.lang.Strings.clean(sb);
String token = tokenSeq!=null?tokenSeq.toString():null;
if (delimiterCount == 0) {
base64UrlEncodedHeader = token;
} else if (delimiterCount == 1) {
base64UrlEncodedPayload = token;
}
delimiterCount++;
sb.setLength(0);
} else {
sb.append(c);
}
}
if (delimiterCount != 2) {
String msg = "JWT strings must contain exactly 2 period characters. Found: " + delimiterCount;
throw new MalformedJwtException(msg);
}
if (sb.length() > 0) {
base64UrlEncodedDigest = sb.toString();
}
if (base64UrlEncodedPayload == null) {
throw new MalformedJwtException("JWT string "" + jwt + "" is missing a body/payload.");
}
// =============== Header =================
Header header = null;
CompressionCodec compressionCodec = null;
if (base64UrlEncodedHeader != null) {
String origValue = TextCodec.BASE64URL.decodeToString(base64UrlEncodedHeader);
Map m = readValue(origValue);
if (base64UrlEncodedDigest != null) {
header = new DefaultJwsHeader(m);
} else {
header = new DefaultHeader(m);
}
compressionCodec = codecResolver.resolveCompressionCodec(header);
}
// =============== Body =================
String payload;
if (compressionCodec != null) {
byte[] decompressed = compressionCodec.decompress(TextCodec.BASE64URL.decode(base64UrlEncodedPayload));
payload = new String(decompressed, io.jsonwebtoken.lang.Strings.UTF_8);
} else {
payload = TextCodec.BASE64URL.decodeToString(base64UrlEncodedPayload);
}
return payload;
}
/**
* 驗簽JWT
*
* @param jwt json web token
*/
public static JwtAccount parseJwt(String jwt, String appKey) throws ExpiredJwtException, UnsupportedJwtException,
MalformedJwtException, SignatureException, IllegalArgumentException {
Claims claims = Jwts.parser()
.setSigningKey(DatatypeConverter.parseBase64Binary(appKey))
.parseClaimsJws(jwt)
.getBody();
JwtAccount jwtAccount = new JwtAccount();
//令牌ID
jwtAccount.setTokenId(claims.getId());
//客戶標識
String subject = claims.getSubject();
jwtAccount.setSubject(subject);
//用戶id
jwtAccount.setUserId(subject);
//簽發者
jwtAccount.setIssuer(claims.getIssuer());
//簽發時間
jwtAccount.setIssuedAt(claims.getIssuedAt());
//接收方
jwtAccount.setAudience(claims.getAudience());
//訪問主張-角色
jwtAccount.setRoles(claims.get("roles", String.class));
//訪問主張-權限
jwtAccount.setPerms(claims.get("perms", String.class));
return jwtAccount;
}
public static Map readValue(String val) {
try {
return MAPPER.readValue(val, Map.class);
} catch (IOException e) {
throw new MalformedJwtException("Unable to userpager JSON value: " + val, e);
}
}
}
JWT相關實體JwtAccount：
@Data
public class JwtAccount implements Serializable {
private static final long serialVersionUID = -895875540581785581L;
/**
* 令牌id
*/
private String tokenId;
/**
* 客戶標識(用戶id)
*/
private String subject;
/**
* 用戶id
*/
private String userId;
/**
* 簽發者(JWT令牌此項有值)
*/
private String issuer;
/**
* 簽發時間
*/
private Date issuedAt;
/**
* 接收方(JWT令牌此項有值)
*/
private String audience;
/**
* 訪問主張-角色(JWT令牌此項有值)
*/
private String roles;
/**
* 訪問主張-資源(JWT令牌此項有值)
*/
private String perms;
/**
* 客戶地址
*/
private String host;
public JwtAccount() {
}
}
web層統一鑒權，解析token
客戶端訪問服務端接口，需要在頭部攜帶token，跟表單一并提交到服務端，服務端則在web層新增MVC攔截器統一做處理
新增MVC攔截器如下：
public class UpmsInterceptor extends HandlerInterceptorAdapter {
@Override
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
BaseResult result = null;
//獲取請求uri
String requestURI = request.getRequestURI();
...省略部分邏輯
//獲取認證token
String jwt = request.getHeader(BaseConstant.AUTHORIZATION);
//不傳認證token，判斷為無效請求
if (StringUtils.isBlank(jwt)) {
result = ResultUtil.error(ResultEnum.ERROR_REQUEST);
RequestResponseUtil.responseWrite(JSON.toJSONString(result), response);
return false;
}
//其他請求均需驗證token有效性
JwtAccount jwtAccount = null;
String payload = null;
try {
// 解析Payload
payload = JsonWebTokenUtil.parseJwtPayload(jwt);
//取出payload中字段信息
if (payload.charAt(0) == "{"
&& payload.charAt(payload.length() - 1) == "}") {
Map payloadMap = JsonWebTokenUtil.readValue(payload);
//客戶標識(userId)
String subject = (String) payloadMap.get("sub");
//查詢用戶簽發秘鑰
}
//驗簽token
jwtAccount = JsonWebTokenUtil.parseJwt(jwt, JsonWebTokenUtil.SECRET_KEY);
} catch (SignatureException | UnsupportedJwtException | MalformedJwtException | IllegalArgumentException e) {
//令牌錯誤
result = ResultUtil.error(ResultEnum.ERROR_JWT);
RequestResponseUtil.responseWrite(JSON.toJSONString(result), response);
return false;
} catch (ExpiredJwtException e) {
//令牌過期
result = ResultUtil.error(ResultEnum.EXPIRED_JWT);
RequestResponseUtil.responseWrite(JSON.toJSONString(result), response);
return false;
} catch (Exception e) {
//解析異常
result = ResultUtil.error(ResultEnum.ERROR_JWT);
RequestResponseUtil.responseWrite(JSON.toJSONString(result), response);
return false;
}
if (null == jwtAccount) {
//令牌錯誤
result = ResultUtil.error(ResultEnum.ERROR_JWT);
RequestResponseUtil.responseWrite(JSON.toJSONString(result), response);
return false;
}
//將用戶信息放入threadLocal中,線程共享
ThreadLocalUtil.getInstance().bind(jwtAccount.getUserId());
return true;
}
//...省略部分代碼
}
整個token解析過程已經在代碼注釋中說明，可以看到解析完token后取出userId，將用戶信息放入了threadLocal中，關于threadLocal的用法，本文暫不討論.
//將用戶信息放入threadLocal中,線程共享
ThreadLocalUtil.getInstance().bind(jwtAccount.getUserId());
添加配置使攔截器生效：
