Аутентификация и авторизация в Java с помощью JWT Руководство для начинающих

{ "alg": "HS512", "typ": "JWT" }

{ "username": "user123", "roles": ["ROLE_USER"], "exp": 1630000000 }

src/main/java └── com.example.app1test ├── controller │ └── AuthController.java # Обработка /login и /register ├── model │ ├── User.java # Модель пользователя │ └── Role.java # Модель роли ├── repository │ ├── UserRepository.java # Работа с пользователями в БД │ └── RoleRepository.java # Работа с ролями в БД ├── dto │ ├── LoginRequest.java # DTO для запроса входа │ ├── RegisterRequest.java # DTO для запроса регистрации │ └── JwtResponse.java # DTO для ответа с токеном ├── jwt │ ├── JwtUtils.java # Генерация/проверка токенов │ └── JwtAuthenticationFilter # Фильтр для проверки токенов └── security ├── SecurityConfig.java # Конфигурация Spring Security └── UserDetailsServiceImpl.java # Загрузка пользователя из БД

@RestController @RequestMapping("/api") @RequiredArgsConstructor // Lombok: автоматически внедряет зависимости public class AuthController { private final AuthenticationManager authenticationManager; private final JwtUtils jwtUtils; private final UserRepository userRepository; private final RoleRepository roleRepository; private final PasswordEncoder passwordEncoder; @PostMapping("/auth/login") public ResponseEntity<?> login(@RequestBody LoginRequest request) { // 1. Создаём объект аутентификации Authentication authentication = authenticationManager.authenticate( new UsernamePasswordAuthenticationToken( request.getUsername(), request.getPassword())); // 2. Сохраняем аутентификацию в контексте SecurityContextHolder.getContext().setAuthentication(authentication); // 3. Генерируем токен String jwt = jwtUtils.generateToken((UserDetails) authentication.getPrincipal()); // Возвращаем токен return ResponseEntity.ok(new JwtResponse(jwt)); } @PostMapping("/auth/register") public ResponseEntity<?> register(@RequestBody RegisterRequest request) { // Проверка на существование пользователя if (userRepository.existsByUsername(request.getUsername())) { return ResponseEntity.badRequest().body("Error: Username is already taken!"); } // Создаём нового пользователя User user = new User(); user.setUsername(request.getUsername()); user.setPassword(passwordEncoder.encode(request.getPassword())); // Шифруем пароль! // Назначаем роль (обычно "ROLE_USER" создаётся при старте приложения) Role userRole = roleRepository.findByName("ROLE_USER") .orElseThrow(() -> new RuntimeException("Error: Role USER not found.")); user.setRoles(Collections.singleton(userRole)); userRepository.save(user); return ResponseEntity.ok("User registered successfully!"); } @GetMapping("/protected") public String protectedEndpoint() { return "This is protected data!"; } }

@Entity @Data // Lombok - автоматически создает геттеры, сеттеры и т.д. @Table(name = "test_users") // Указываем имя таблицы в БД public class User { @Id // Указывает что это первичный ключ @GeneratedValue(strategy = GenerationType.IDENTITY) // Автоинкремент private Long id; @Column(unique = true, nullable = false, length = 20) // Ограничения для поля private String username; @Column(nullable = false, length = 100) // Пароль будет храниться в зашифрованном виде private String password; @ManyToMany(fetch = FetchType.EAGER) // Связь многие-ко-многим, загрузка ролей сразу @JoinTable( name = "test_users_roles", // Имя связующей таблицы joinColumns = @JoinColumn(name = "user_id"), // Столбец для текущей сущности inverseJoinColumns = @JoinColumn(name = "role_id")) // Столбец для связанной сущности private Collection<Role> roles; // Список ролей пользователя }

@Entity @Data @Table(name = "test_roles") // Указываем имя таблицы public class Role { @Id @GeneratedValue(strategy = GenerationType.IDENTITY) private Long id; @Column(unique = true, nullable = false, length = 20) private String name; // Название роли (например: ROLE_USER, ROLE_ADMIN) }

public interface UserRepository extends JpaRepository<User, Long> { Optional<User> findByUsername(String username); // Поиск пользователя по логину boolean existsByUsername(String username); }

public interface RoleRepository extends JpaRepository<Role, Long> { Optional<Role> findByName(String name); }

@Data // Lombok - автоматические геттеры/сеттеры public class LoginRequest { private String username; // Логин пользователя private String password; // Пароль в открытом виде (передается при аутентификации) }

@Data public class RegisterRequest { private String username; private String password; // Пароль будет зашифрован перед сохранением }

@Data public class JwtResponse { private String token; // JWT токен для последующих запросов public JwtResponse(String token) { this.token = token; } }

@Component public class JwtUtils { @Value("${jwt.secret}") private String secret; // Секретный ключ из application.properties @Value("${jwt.expiration}") private long expiration; // Время жизни токена // Генерация JWT токена public String generateToken(UserDetails userDetails) { return Jwts.builder() .setSubject(userDetails.getUsername()) // Устанавливаем имя пользователя .setIssuedAt(new Date()) // Время создания .setExpiration(new Date(System.currentTimeMillis() + expiration)) // Время истечения .signWith(SignatureAlgorithm.HS512, secret) // Алгоритм подписи .compact();// Собираем токен } // Валидация токена public boolean validateToken(String token) { try { Jwts.parser().setSigningKey(secret).parseClaimsJws(token); return true; } catch (SignatureException e) { System.err.println("Неверная подпись токена: " + e.getMessage()); } catch (MalformedJwtException e) { System.err.println("Некорректный токен: " + e.getMessage()); } catch (ExpiredJwtException e) { System.err.println("Токен просрочен: " + e.getMessage()); } catch (UnsupportedJwtException e) { System.err.println("Неподдерживаемый токен: " + e.getMessage()); } catch (IllegalArgumentException e) { System.err.println("Пустой токен: " + e.getMessage()); } return false; } // Получение имени пользователя из токена public String getUsernameFromToken(String token) { return Jwts.parser() .setSigningKey(secret) .parseClaimsJws(token) .getBody() .getSubject(); } }

@Component public class JwtAuthenticationFilter extends OncePerRequestFilter { private final JwtUtils jwtUtils; private final UserDetailsServiceImpl userDetailsService; public JwtAuthenticationFilter(JwtUtils jwtUtils, UserDetailsServiceImpl userDetailsService) { this.jwtUtils = jwtUtils; this.userDetailsService = userDetailsService; } @Override protected void doFilterInternal( HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException { // 1. Получаем заголовок Authorization final String authHeader = request.getHeader("Authorization"); // 2. Проверяем наличие и формат заголовка if (authHeader == null || !authHeader.startsWith("Bearer ")) { filterChain.doFilter(request, response); return; } // 3. Извлекаем токен (после "Bearer ") final String jwt = authHeader.substring(7); // 4. Проверяем токен if (jwtUtils.validateToken(jwt)) { // 5. Получаем имя пользователя String username = jwtUtils.getUsernameFromToken(jwt); // 6. Загружаем пользователя из БД UserDetails userDetails = userDetailsService.loadUserByUsername(username); // 7. Создаём объект аутентификации UsernamePasswordAuthenticationToken authentication = new UsernamePasswordAuthenticationToken( userDetails, null, userDetails.getAuthorities()); authentication.setDetails( new WebAuthenticationDetailsSource().buildDetails(request)); // 8. Сохраняем в SecurityContext SecurityContextHolder.getContext().setAuthentication(authentication); } // 9. Передаём запрос дальше по цепочке фильтров filterChain.doFilter(request, response); } }

@Configuration @EnableWebSecurity @EnableMethodSecurity public class SecurityConfig { private final JwtAuthenticationFilter jwtAuthFilter; public SecurityConfig(JwtAuthenticationFilter jwtAuthFilter) { this.jwtAuthFilter = jwtAuthFilter; } @Bean public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception { http .csrf(AbstractHttpConfigurer::disable) .authorizeHttpRequests(auth -> auth .requestMatchers("/api/auth/**").permitAll() // Разрешаем доступ к аутентификации .requestMatchers("/api/protected").authenticated() // Защищаем конкретный эндпоинт .anyRequest().authenticated() // Все остальные запросы требуют аутентификации ) .sessionManagement(session -> session .sessionCreationPolicy(SessionCreationPolicy.STATELESS)// Не используем сессии ) .addFilterBefore(jwtAuthFilter, UsernamePasswordAuthenticationFilter.class); return http.build(); } @Bean public PasswordEncoder passwordEncoder() { return new BCryptPasswordEncoder(12);// Сила шифрования } @Bean public AuthenticationManager authenticationManager( AuthenticationConfiguration config) throws Exception { return config.getAuthenticationManager(); } }

@Service public class UserDetailsServiceImpl implements UserDetailsService { private final UserRepository userRepository; public UserDetailsServiceImpl(UserRepository userRepository) { this.userRepository = userRepository; } @Override public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException { User user = userRepository.findByUsername(username) .orElseThrow(() -> new UsernameNotFoundException("User Not Found with username: " + username)); return org.springframework.security.core.userdetails.User .withUsername(user.getUsername()) .password(user.getPassword()) .authorities(user.getRoles().stream() .map(role -> role.getName()) .toArray(String[]::new)) .build(); } }

# БД spring.datasource.url=jdbc:postgresql://localhost:5432/mydb spring.datasource.username=postgres spring.datasource.password=secret # JWT jwt.secret=mySuperSecretKeyWithAtLeast512BitsLength_ThisIsJustExampleKeyChangeItInProduction! jwt.expiration=86400000 # 24 часа

curl -X POST -H "Content-Type: application/json" -d "{\"username\":\"testuser\", \"password\":\"testpass\"}" http://localhost:8080/api/auth/register

curl -X POST -H "Content-Type: application/json" -d "{\"username\":\"testuser\", \"password\":\"testpass\"}" http://localhost:8080/api/auth/login

curl -X GET -H "Authorization: Bearer <ваш_токен>" http://localhost:8080/api/protected