在Spring Boot中使用JWT進行簡單身份驗證

Question

我是安全方面的新手，因此在此任務上需要的幫助很少。 我開發的小型應用程序只需要通過憑據對用戶進行身份驗證，並返回沒有任何角色或作用域的jwt令牌（用戶將使用所有其余服務）。

我只需要區分經過身份驗證的用戶和匿名用戶，然后驗證令牌即可。

我簽了很多教程，但對我而言它們太復雜了。

有我的問題，我將不勝感激，希望能為您提供逐步的幫助或指導：

1. 我發現的其中一本教程使用了OAuth2。 我真的需要實現OAuth2嗎？
2. 我應該使用哪個依賴項？ jjwt或spring security jwt？
3. 真的需要授權服務器和資源服務器，還是存在更簡單的方法？

謝謝。

Answer 1

這是您的問題的簡短答案，希望可以幫助您進行進一步的研究：

1. 您不需要實現自己的OAuth2服務器。 您可以使用現有的OAuth2兼容應用程序，例如Keycloak或Mitreid 。 我們發現Keycloak將來會變得更加豐富並且易於使用。

2. 如果您只是在接收和驗證JWT令牌，那么Spring會為您完成。 但是，為了創建JWT令牌，您需要使用第三方庫，例如jjwt或nimbus-jose-jwt 。

3. 同樣，您可以選擇創建自己的Spring應用程序，該應用程序將進行身份驗證和創建JWT令牌，但是要完全兼容OAuth2，還需要花費更多時間。 我的建議是僅使用現有的OAuth2應用（例如Keycloak）。 資源服務器是您需要創建的服務器，並且是受JWT令牌保護和訪問的實際應用程序。

Answer 2

回答這個問題很晚，但是如果有人仍在尋找答案，還是要回答這個問題。 假設您已經完成了憑據的身份驗證，但是在尋求JWT的幫助時，請看一下我的回答JWT令牌在解析時始終被接收為過期

希望這可以幫助。