认证

这一课你将能做到

1. 实现基于 JWT 的无状态认证，理解 Token 的生成、校验、刷新全流程
2. 说清楚 OAuth2 的四种授权模式，知道什么场景用哪种
3. 设计 API Key 机制，支持第三方系统安全调用

为什么要学

认证是 API 的大门。没有认证，任何人都能调你的接口；认证做得差，用户会被盗号、数据会泄露。面试必考：JWT 结构？OAuth2 流程？怎么防止 Token 泄露？

先建立图像

认证方式对比：

┌─────────────┐     ┌─────────────┐     ┌─────────────┐
│   Session   │     │     JWT     │     │   API Key   │
│   + Cookie  │     │   (无状态)   │     │  (长期有效)  │
└──────┬──────┘     └──────┬──────┘     └──────┬──────┘
       │                   │                   │
  服务器存会话          自包含，不存          简单字符串
  水平扩展需共享        可直接校验          需定期轮换
  适合浏览器            适合 App/SPA        适合机器调用

JWT 结构：
xxxxx.yyyyy.zzzzz
│     │     │
│     │     └── Signature（签名，防篡改）
│     └──────── Payload（载荷，用户ID、过期时间等）
└────────────── Header（算法、类型）

跟着做

步骤 1：引入 JWT 依赖

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-api</artifactId>
    <version>0.11.5</version>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-impl</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-jackson</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>

步骤 2：JWT 工具类

@Component
public class JwtTokenProvider {

    private final String secret;
    private final long accessTokenValidity;
    private final long refreshTokenValidity;

    public JwtTokenProvider(@Value("${jwt.secret}") String secret,
                           @Value("${jwt.access-token-validity}") long accessTokenValidity,
                           @Value("${jwt.refresh-token-validity}") long refreshTokenValidity) {
        this.secret = Base64.getEncoder().encodeToString(secret.getBytes());
        this.accessTokenValidity = accessTokenValidity;
        this.refreshTokenValidity = refreshTokenValidity;
    }

    public String createAccessToken(Long userId, String username, List<String> roles) {
        Date now = new Date();
        Date validity = new Date(now.getTime() + accessTokenValidity);

        return Jwts.builder()
                .setSubject(userId.toString())
                .claim("username", username)
                .claim("roles", roles)
                .setIssuedAt(now)
                .setExpiration(validity)
                .signWith(Keys.hmacShaKeyFor(secret.getBytes()))
                .compact();
    }

    public String createRefreshToken(Long userId) {
        Date now = new Date();
        Date validity = new Date(now.getTime() + refreshTokenValidity);

        return Jwts.builder()
                .setSubject(userId.toString())
                .setIssuedAt(now)
                .setExpiration(validity)
                .signWith(Keys.hmacShaKeyFor(secret.getBytes()))
                .compact();
    }

    public boolean validateToken(String token) {
        try {
            Jwts.parserBuilder()
                    .setSigningKey(Keys.hmacShaKeyFor(secret.getBytes()))
                    .build()
                    .parseClaimsJws(token);
            return true;
        } catch (JwtException | IllegalArgumentException e) {
            return false;
        }
    }

    public Long getUserId(String token) {
        Claims claims = Jwts.parserBuilder()
                .setSigningKey(Keys.hmacShaKeyFor(secret.getBytes()))
                .build()
                .parseClaimsJws(token)
                .getBody();
        return Long.parseLong(claims.getSubject());
    }
}