如何在 Spring Security 中刷新令牌

Question

这一行：

Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token).getBody();

当我的 jwt 令牌过期时抛出这样的错误：

JWT 于 2020-05-13T07:50:39Z 过期。当前时间： 2020-05-16T21:29:41Z.

更具体地说，正是这个函数引发了“ExpiredJwtException”异常：

我该如何处理这些异常？我应该抓住他们并向客户发送错误消息并强制他们重新登录吗？

如何实现刷新令牌功能？我在后端使用 Spring 和 mysql，在前端使用 vuejs。

我像这样生成初始令牌：

   @Override
        public JSONObject login(AuthenticationRequest authreq) {
            JSONObject json = new JSONObject();
    
            try {
                Authentication authentication = authenticationManager.authenticate(
                        new UsernamePasswordAuthenticationToken(authreq.getUsername(), authreq.getPassword()));
    
                UserDetailsImpl userDetails = (UserDetailsImpl) authentication.getPrincipal();
                List<String> roles = userDetails.getAuthorities().stream().map(item -> item.getAuthority())
                        .collect(Collectors.toList());
    
                if (userDetails != null) {
    
                    final String jwt = jwtTokenUtil.generateToken(userDetails);
    
    
                    JwtResponse jwtres = new JwtResponse(jwt, userDetails.getId(), userDetails.getUsername(),
                            userDetails.getEmail(), roles, jwtTokenUtil.extractExpiration(jwt).toString());
    
                    return json.put("jwtresponse", jwtres);
                }
            } catch (BadCredentialsException ex) {
                json.put("status", "badcredentials");
            } catch (LockedException ex) {
                json.put("status", "LockedException");
            } catch (DisabledException ex) {
                json.put("status", "DisabledException");
            }
    
            return json;
        }

然后在 JwtUtil 类中：

   public String generateToken(UserDetails userDetails) {
            Map<String, Object> claims = new HashMap<>();
            return createToken(claims, userDetails.getUsername());
        }
    
   private String createToken(Map<String, Object> claims, String subject) {
            return Jwts.builder().setClaims(claims).setSubject(subject).setIssuedAt(new Date(System.currentTimeMillis()))
                    .setExpiration(new Date(System.currentTimeMillis() + EXPIRESIN))
                    .signWith(SignatureAlgorithm.HS256, SECRET_KEY).compact();
        }

更多信息，这里是过滤每个请求的 doFilterInternal 函数：

   @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain)
            throws ServletException, IOException, ExpiredJwtException, MalformedJwtException {

        try {

            final String authorizationHeader = request.getHeader("Authorization");

            String username = null;
            String jwt = null;

            if (authorizationHeader != null && authorizationHeader.startsWith("Bearer ")) {
                jwt = authorizationHeader.substring(7);
                username = jwtUtil.extractUsername(jwt);
            }

            if (username != null && SecurityContextHolder.getContext().getAuthentication() == null) {
                UserDetails userDetails = userService.loadUserByUsername(username);

                boolean correct = jwtUtil.validateToken(jwt, userDetails);

                if (correct) {
                    UsernamePasswordAuthenticationToken usernamePasswordAuthenticationToken = new UsernamePasswordAuthenticationToken(
                            userDetails, null, userDetails.getAuthorities());

                    usernamePasswordAuthenticationToken
                            .setDetails(new WebAuthenticationDetailsSource().buildDetails(request));
                    SecurityContextHolder.getContext().setAuthentication(usernamePasswordAuthenticationToken);

                }
            }

            chain.doFilter(request, response);
        } catch (ExpiredJwtException ex) {
            resolver.resolveException(request, response, null, ex);
        }
    } 

Answer 1

您可以调用API获取刷新令牌，如下所示

POST https://yourdomain.com/oauth/token 

Header
  "Authorization": "Basic [base64encode(clientId:clientSecret)]" 

Parameters
  "grant_type": "refresh_token"
  "refresh_token": "[yourRefreshToken]"

请注意，

• base64encode 是加密客户端授权的方法。您可以在线使用https://www.base64encode.org/
• refresh_token 是 grant_type 的字符串值
• yourRefreshToken 是与 JWT 访问令牌 一起收到的 刷新令牌

结果可以看成

{
    "token_type":"bearer",
    "access_token":"eyJ0eXAiOiJK.iLCJpYXQiO.Dww7TC9xu_2s",
    "expires_in":20,
    "refresh_token":"7fd15938c823cf58e78019bea2af142f9449696a"
}

祝你好运。

Answer 2

有两种主要的方法来处理这种情况：

---

管理访问和刷新令牌

在这种情况下，流程如下：

1. 用户登录应用程序（包括username和password）

2. 您的后端应用程序返回任何所需的凭据信息，并且：

   2.1 访问 JWT 令牌，过期时间通常为“低”（15、30 分钟等）。

   2.2 刷新 JWT 令牌，过期时间大于访问时间。

3. 从现在开始，您的前端应用程序将在每个请求的 Authorization 标头中使用 access token。

当后端返回401 时，前端应用程序将尝试使用refresh token（使用特定端点）获取新凭据，而不强制用户再次登录。

Refresh token flow （这只是一个例子，通常只发送刷新令牌）

如果没有问题，那么用户将能够继续使用该应用程序。如果后端返回一个新的401 => 前端应该重定向到登录页面。

---

只管理一个 Jwt 令牌

在这种情况下，流程与上一个类似，您可以创建自己的端点来处理这种情况：/auth/token/extend（例如），包括过期的 Jwt 作为请求的参数。

现在由您来管理：

• 过期的 Jwt 令牌将“有效”多长时间才能延长它？

新端点将具有与上一节中类似的刷新行为，我的意思是，将返回一个新的 Jwt 令牌或401，因此，从前端的角度来看，流程将是相同的。

---

一个重要的事情，独立于您要遵循的方法，“新端点”应该从所需的 Spring 身份验证端点中排除，因为您将自己管理安全性：

public class WebSecurityConfiguration extends WebSecurityConfigurerAdapter {
  ..

  @Override
  protected void configure(HttpSecurity http) throws Exception {
    http.
      ..
      .authorizeRequests()
      // List of services do not require authentication
      .antMatchers(Rest Operator, "MyEndpointToRefreshOrExtendToken").permitAll()
      // Any other request must be authenticated
      .anyRequest().authenticated()
      ..
   }
}