在Spring Boot中使用JWT进行简单身份验证

Question

我是安全方面的新手，因此在此任务上需要的帮助很少。 我开发的小型应用程序只需要通过凭据对用户进行身份验证，并返回没有任何角色或作用域的jwt令牌（用户将使用所有其余服务）。

我只需要区分经过身份验证的用户和匿名用户，然后验证令牌即可。

我签了很多教程，但对我而言它们太复杂了。

有我的问题，我将不胜感激，希望能为您提供逐步的帮助或指导：

1. 我发现的其中一本教程使用了OAuth2。 我真的需要实现OAuth2吗？
2. 我应该使用哪个依赖项？ jjwt或spring security jwt？
3. 真的需要授权服务器和资源服务器，还是存在更简单的方法？

谢谢。

Answer 1

这是您的问题的简短答案，希望可以帮助您进行进一步的研究：

1. 您不需要实现自己的OAuth2服务器。 您可以使用现有的OAuth2兼容应用程序，例如Keycloak或Mitreid 。 我们发现Keycloak将来会变得更加丰富并且易于使用。

2. 如果您只是在接收和验证JWT令牌，那么Spring会为您完成。 但是，为了创建JWT令牌，您需要使用第三方库，例如jjwt或nimbus-jose-jwt 。

3. 同样，您可以选择创建自己的Spring应用程序，该应用程序将进行身份验证和创建JWT令牌，但是要完全兼容OAuth2，还需要花费更多时间。 我的建议是仅使用现有的OAuth2应用（例如Keycloak）。 资源服务器是您需要创建的服务器，并且是受JWT令牌保护和访问的实际应用程序。

Answer 2

回答这个问题很晚，但是如果有人仍在寻找答案，还是要回答这个问题。 假设您已经完成了凭据的身份验证，但是在寻求JWT的帮助时，请看一下我的回答JWT令牌在解析时始终被接收为过期

希望这可以帮助。