如何将SpringSecurity与JWT结合，实现长尾词的登录认证机制？

本文共计2667个文字，预计阅读时间需要11分钟。

最近项目的登录验证部分，采用了JWT验证方式。同时，既然已经使用了Spring Boot框架，并且涉及到验证和权限管理，自然也就使用了Spring Security。

以下是一些具体实现记录：

+ 在项目使用JWT方案前，...

最近项目的登录验证部分，采用了 JWT 验证的方式。并且既然采用了 Spring Boot 框架，验证和权限管理这部分，就自然用了 Spring Security。这里记录一下具体实现。
在项目采用 JWT 方案前，有必要先了解它的特性和适用场景，毕竟软件工程里，没有银弹。只有合适的场景，没有万精油的方案。

一言以蔽之，JWT 可以携带非敏感信息，并具有不可篡改性。可以通过验证是否被篡改，以及读取信息内容，完成网络认证的三个问题：“你是谁”、“你有哪些权限”、“是不是冒充的”。

为了安全，使用它需要采用 Https 协议，并且一定要小心防止用于加密的密钥泄露。

采用 JWT 的认证方式下，服务端并不存储用户状态信息，有效期内无法废弃，有效期到期后，需要重新创建一个新的来替换。
所以它并不适合做长期状态保持，不适合需要用户踢下线的场景，不适合需要频繁修改用户信息的场景。因为要解决这些问题，总是需要额外查询数据库或者缓存，或者反复加密解密，强扭的瓜不甜，不如直接使用 Session。不过作为服务间的短时效切换，还是非常合适的，就比如 OAuth 之类的。

目标功能点

通过填写用户名和密码登录。

• 验证成功后, 服务端生成 JWT 认证 token, 并返回给客户端。
• 验证失败后返回错误信息。