【SpringBoot】validation参数校验 JWT鉴权实现 加密/加盐

参数校验：jakarta.validation

Jakarta Bean Validation提供了一种基于注解的方式来验证 Java 对象中的属性是否符合规则，通常用于：

• 表单输入校验（Web 开发）
• DTO 参数校验（SpringMVC、Jakarta REST）
• 持久化数据校验（JPA）

SpringBoot 项目使用时，添加以下依赖即可：

<dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-validation</artifactId></dependency>

常见注解

使用实例

publicclassUser{@NotBlank(message="用户名不能为空")privateStringusername;@Email(message="邮箱格式不正确")privateStringemail;@Size(min=6,message="密码长度不能少于6位")privateStringpassword;@Min(value=18,message="年龄不能小于18岁")privateIntegerage;// getters and setters}

如何触发验证？

在Spring框架中，配合@Valid或@Validated注解使用：

@PostMapping("/register")publicResponseEntity<?>register(@Valid@RequestBodyUseruser,BindingResultresult){if(result.hasErrors()){returnResponseEntity.badRequest().body(result.getAllErrors());}returnResponseEntity.ok("注册成功");}

JWT

1. 传统登录方式的问题

传统的登录认证流程通常是：

• 用户提交用户名密码到服务器
• 服务器验证身份并创建Session
• 服务器通过Cookie返回sessionId给浏览器

但在集群环境下，这种方式存在问题：

• 单点故障风险高
• 多服务器环境下，一个用户的请求可能被分发到不同服务器
• 第一台服务器创建的Session在第二台服务器上不存在，导致用户需要重复登录

2. JWT令牌技术解决方案

令牌其实就是一个用户身份的标识，本质就是一个字符串。

服务器只需要存放一份密钥来判断token中payload部分是否发生变化（有点像证书机制），而不需要像session机制那样存放大量的session字符串，大大节省存储空间~

令牌技术优点

• 解决了集群环境下的认证问题
• 减轻服务器的存储压力(无需在服务器端存储)

JWT介绍

• JWT全称：JSON Web Token
• 官网：https://jwt.io/
• 是一种紧凑的URL安全方法，用于客户端和服务器之间传递安全可靠的信息

JWT组成

JWT` 由三部分组成，每部分中间使用 . 分隔，如：aaaaa.bbbbb.cccc

1. Header（头部）：包括令牌类型及使用的哈希算法
2. Payload（载荷）：存放有效信息的地方，如用户ID、用户名、过期时间戳等
3. Signature（签名）：将头部+载荷结合密钥进行加密，用于防止JWT内容被篡改。
   1. JWT 解决的是 “信任” 问题，而不是 “隐私” 问题，即 JWT 并没有办法保证数据内容的安全性，所以不要在载荷中存放敏感信息！

所有部分使用Base64Url编码（注意：Base64是编码方式，不是加密方式）

3. 实现JWT登录认证

3.1 添加JWT依赖

<dependency><groupId>io.jsonwebtoken</groupId><artifactId>jjwt-api</artifactId><version>0.11.5</version></dependency><dependency><groupId>io.jsonwebtoken</groupId><artifactId>jjwt-impl</artifactId><version>0.11.5</version><scope>runtime</scope></dependency><dependency><groupId>io.jsonwebtoken</groupId><artifactId>jjwt-jackson</artifactId><version>0.11.5</version><scope>runtime</scope></dependency>

然后在配置文件中添加密钥（这里采用配置文件引入的方式）

jwt.secret=wFApjmSTFmWZZix27k/w5ltH3YK9u3/e01IdCNsZ4Jk=

3.2 创建JWT工具类

@Slf4jpublicclassJwtUtil{// 没办法直接调用非静态变量secret// 所以换个思路，用传参方式来进行初始化// 即创建配置类调用init()来进行SECRET_KEY的初始化privatestaticKeySECRET_KEY;// 由配置类主动调用初始化，对secret进行解码，然后转化为Key类型publicstaticvoidinit(Stringsecret){log.info("初始化密钥：{}",secret);SECRET_KEY=Keys.hmacShaKeyFor(Decoders.BASE64.decode(secret));}/** * 根据传入的claims也就是载荷，生成对应的JWT */publicstaticStringcreateJWT(Map<String,Object>claims){if(SECRET_KEY==null){thrownewIllegalStateException("SECRET_KEY 未初始化！");}Stringjwt=null;try{jwt=Jwts.builder().setClaims(claims).signWith(SECRET_KEY,io.jsonwebtoken.SignatureAlgorithm.HS256).setIssuedAt(newDate()).setExpiration(newDate(System.currentTimeMillis()+Constants.TOKEN_EXPIRE_TIME))// 1小时有效.compact();// 👈 核心！将 header + payload + signature 拼接、压缩、编码成一个标准的 JWT 字符串。}catch(Exceptione){thrownewJwtException("创建令牌出错",e);}returnjwt;}/** * 将生成JWT字符串解析后进行返回 */publicstaticClaimsparseJWT(Stringjwt){if(SECRET_KEY==null){thrownewIllegalStateException("SECRET_KEY 未初始化！");}if(!StringUtils.hasText(jwt)){thrownewIllegalArgumentException("JWT参数错误！");}Claimsclaim=null;try{claim=(Claims)Jwts.parserBuilder().setSigningKey(SECRET_KEY).build().parseClaimsJws(jwt).getBody();// ✅ 检查是否过期if(claim.getExpiration().before(newDate())){thrownewRuntimeException("Token 已过期");}returnclaim;}catch(ExpiredJwtExceptione){thrownewJwtException("Token 已过期",e);}catch(JwtExceptione){thrownewJwtException("Token 非法",e);}catch(Exceptione){thrownewJwtException("解析令牌出错",e);}}}

3.3 创建配置类

这个配置类就是用于初始化上面JWTUtils中的SECRET_KEY密钥的。

@Slf4j@ComponentpublicclassJWTConfig{@Value("${jwt.secret}")privateStringsecret;// 不能为static，否则注入不成功，直接为null//该方法在注入secret后才执行@PostConstructpublicvoidinit(){log.info("【JWTUtils】PostConstruct 正在执行...");JWTUtils.init(secret);// 调用工具类的初始化方法}}

3.4 前端实现的细节

前端想在页面跳转后还能用token进行验证，那么就得用localStorage.setItem()进行存储，然后需要用到的时候就用localStorage.getItem()获取即可！

functionlogin(){$.ajax({type:"post",url:"/user/login",contentType:"application/json",data:JSON.stringify({"userName":$("#username").val(),"password":$("#password").val()}),success:function(result){if(result.code==200&&result.data!=""){varresponse=result.data;localStorage.setItem("user_token",response.token);localStorage.setItem("loginUserId",response.userId);location.assign("blog_list.html");}else{alert("用户名或密码错误");return;}}});}

然后在前端统一处理部分，每次访问新页面的时候，就设置请求，发送该token给后端进行校验，如下所示：

$(document).ajaxSend(function(e,xhr,opt){varuser_token=localStorage.getItem("user_token");xhr.setRequestHeader("user_token",user_token);});

4. Auth0 提供的 JWT

JWT是 Auth0 提供的库类（包名是com.auth0.jwt），而前面的Jwts是 JJWT 库的工具类（包名是io.jsonwebtoken）。

这个包实现 JWT 会更加简洁一些！

先引入依赖：

<dependency><groupId>com.auth0</groupId><artifactId>java-jwt</artifactId><version>4.x.x</version></dependency>

然后编写工具类

/** * JWT 工具类 */publicclassJwtUtil{// 密钥privatestaticfinalStringSECRET_KEY="xxx";// 更改为你的密钥// 设置 JWT 的过期时间 6 小时privatestaticfinallongEXPIRATION_TIME=1000*60*60*6;/** * 生成 JWT token * * @param claims 自定义的业务数据 * @return JWT token */publicstaticStringgenerateToken(Map<String,Object>claims){returnJWT.create().withClaim("claims",claims)// 自定义的业务数据.withExpiresAt(newDate(System.currentTimeMillis()+EXPIRATION_TIME))// 设置过期时间.sign(Algorithm.HMAC256(SECRET_KEY));// 使用 HMAC256 算法加密}/** * 解析 JWT token * * @param token JWT token * @return 自定义的业务数据 */publicstaticMap<String,Object>parseToken(Stringtoken){returnJWT.require(Algorithm.HMAC256(SECRET_KEY)).build().verify(token).getClaim("claims").asMap();}}

加密/加盐

1. 密码加密方案

博客系统中采用MD5算法 + 盐值进行密码加密：

• 使用随机字符串作为 “盐”
• 将盐与密码组合后进行MD5加密
• 存储格式为：盐值 + MD5（盐值+密码）

其中 “盐值” 是指一个随机字符串。

2. 实现加密工具类

publicclassSecureUtils{publicstaticStringencrypt(Stringpasswd){// 1. 获取盐值Stringsalt=UUID.randomUUID().toString().replace("-","");// 2. 获取 "盐值+密码" 进行md5加密后的密文Stringret=DigestUtils.md5DigestAsHex((salt+passwd).getBytes(StandardCharsets.UTF_8));// 3. 返回真正的密码是：盐值 + 加密后的密文returnsalt+ret;}publicstaticBooleanisValidated(Stringciphertext,Stringpasswd){if(!StringUtils.hasLength(passwd)||!StringUtils.hasLength(ciphertext)){returnfalse;}if(ciphertext.length()!=64){returnfalse;}Stringsalt=ciphertext.substring(0,32);// 拿到盐值Stringtmp=DigestUtils.md5DigestAsHex((salt+passwd).getBytes(StandardCharsets.UTF_8));return(salt+tmp).equals(ciphertext);}}

3. 修改登录验证逻辑

// login...// 走到这说明用户存在，则进行密码判断if(SecureUtils.isValidated(userInfo.getPassword(),password)){// 验证成功...}else{thrownewBlogException("密码不正确");}