如何在 Spring 安全性中刷新令牌

Question

这一行：

Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token).getBody();

当我的 jwt 令牌过期时抛出这样的错误：

JWT 于 2020-05-13T07:50:39Z 过期。当前时间：2020-05-16T21:29:41Z。

更具体地说，正是这个函数抛出了“ExpiredJwtException”异常：

我该如何处理这些异常？我是否应该捕获它们并将错误消息发送回客户端并强制它们重新登录？

如何实现刷新令牌功能？我在后端使用 Spring 和 mysql，在前端使用 vuejs。

我生成这样的初始令牌：

   @Override
        public JSONObject login(AuthenticationRequest authreq) {
            JSONObject json = new JSONObject();
    
            try {
                Authentication authentication = authenticationManager.authenticate(
                        new UsernamePasswordAuthenticationToken(authreq.getUsername(), authreq.getPassword()));
    
                UserDetailsImpl userDetails = (UserDetailsImpl) authentication.getPrincipal();
                List<String> roles = userDetails.getAuthorities().stream().map(item -> item.getAuthority())
                        .collect(Collectors.toList());
    
                if (userDetails != null) {
    
                    final String jwt = jwtTokenUtil.generateToken(userDetails);
    
    
                    JwtResponse jwtres = new JwtResponse(jwt, userDetails.getId(), userDetails.getUsername(),
                            userDetails.getEmail(), roles, jwtTokenUtil.extractExpiration(jwt).toString());
    
                    return json.put("jwtresponse", jwtres);
                }
            } catch (BadCredentialsException ex) {
                json.put("status", "badcredentials");
            } catch (LockedException ex) {
                json.put("status", "LockedException");
            } catch (DisabledException ex) {
                json.put("status", "DisabledException");
            }
    
            return json;
        }

然后在 JwtUtil 类中：

   public String generateToken(UserDetails userDetails) {
            Map<String, Object> claims = new HashMap<>();
            return createToken(claims, userDetails.getUsername());
        }
    
   private String createToken(Map<String, Object> claims, String subject) {
            return Jwts.builder().setClaims(claims).setSubject(subject).setIssuedAt(new Date(System.currentTimeMillis()))
                    .setExpiration(new Date(System.currentTimeMillis() + EXPIRESIN))
                    .signWith(SignatureAlgorithm.HS256, SECRET_KEY).compact();
        }

有关更多信息，这是我的 doFilterInternal 函数，用于过滤每个请求：

   @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain)
            throws ServletException, IOException, ExpiredJwtException, MalformedJwtException {

        try {

            final String authorizationHeader = request.getHeader("Authorization");

            String username = null;
            String jwt = null;

            if (authorizationHeader != null && authorizationHeader.startsWith("Bearer ")) {
                jwt = authorizationHeader.substring(7);
                username = jwtUtil.extractUsername(jwt);
            }

            if (username != null && SecurityContextHolder.getContext().getAuthentication() == null) {
                UserDetails userDetails = userService.loadUserByUsername(username);

                boolean correct = jwtUtil.validateToken(jwt, userDetails);

                if (correct) {
                    UsernamePasswordAuthenticationToken usernamePasswordAuthenticationToken = new UsernamePasswordAuthenticationToken(
                            userDetails, null, userDetails.getAuthorities());

                    usernamePasswordAuthenticationToken
                            .setDetails(new WebAuthenticationDetailsSource().buildDetails(request));
                    SecurityContextHolder.getContext().setAuthentication(usernamePasswordAuthenticationToken);

                }
            }

            chain.doFilter(request, response);
        } catch (ExpiredJwtException ex) {
            resolver.resolveException(request, response, null, ex);
        }
    } 

Answer 1

处理这种情况有两种主要方法：

管理访问和刷新令牌

在这种情况下，流程如下：

1. 用户登录应用程序（包括username和password）

2. 您的后端应用程序返回任何必需的凭据信息，并且：

   2.1访问 JWT 令牌的过期时间通常为“低”（15 分钟、30 分钟等）。

   2.2刷新过期时间大于访问时间的 JWT 令牌。

3. access token从现在开始，您的前端应用程序将在Authorization每个请求的标头中使用。

当 backend 返回 时401，前端应用程序将尝试使用refresh token（使用特定端点）获取新凭据，而不强制用户再次登录。

刷新令牌流程 （这只是一个示例，通常只发送刷新令牌）

如果没有问题，那么用户将能够继续使用该应用程序。如果后端返回一个新的401=> 前端应该重定向到登录页面。

仅管理一个 Jwt 令牌

在这种情况下，流程与前一种类似，您可以创建自己的端点来处理这种情况：（/auth/token/extend例如），包括过期的 Jwt 作为请求的参数。

现在由您来管理：

• 过期的 Jwt 令牌“有效”多久可以延长？

新端点将具有与上一节中的刷新行为类似的行为，我的意思是，将返回一个新的 Jwt 令牌左右401，从前端的角度来看，流程将是相同的。

一件重要的事情，与您想要遵循的方法无关，“新端点”应该从所需的 Spring 身份验证端点中排除，因为您将自己管理安全性：

public class WebSecurityConfiguration extends WebSecurityConfigurerAdapter {
  ..

  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http.
      ..
      .authorizeRequests()
      // List of services do not require authentication
      .antMatchers(Rest Operator, "MyEndpointToRefreshOrExtendToken").permitAll()
      // Any other request must be authenticated
      .anyRequest().authenticated()
      ..
   }
}