SpringBoot集成Shiro+JWT(Hutool)完整代碼示例
更新時間：2025年08月07日 10:54:38 作者：Rysxt_
Apache Shiro是一個強大且易用的Java 安全框架,提供了認證、授權、加密和會話管理功能,在現(xiàn)代應用開發(fā)中,Shiro 因其簡單性和靈活性而被廣泛采用,下面通過本文給大家介紹SpringBoot集成Shiro+JWT(Hutool)完整代碼示例,感興趣的朋友跟隨小編一起看看吧
一、背景介紹
1.1 為什么使用Shiro？
Apache Shiro 是一個強大且易用的 Java 安全框架，提供了認證、授權、加密和會話管理功能。在現(xiàn)代應用開發(fā)中，Shiro 因其簡單性和靈活性而被廣泛采用：
- ??簡單易用??：相比 Spring Security，Shiro 的 API 更加直觀和簡單
- ??功能全面??：提供認證、授權、會話管理、加密等企業(yè)級安全功能
- ??輕量級??：不依賴任何容器，可以獨立運行
- ??業(yè)界規(guī)范??：被眾多企業(yè)采用，有豐富的社區(qū)支持和文檔
1.2 為什么需要雙Token？
在原有單Token方案基礎上引入 ??Access Token（訪問令牌）?? 和 ??Refresh Token（刷新令牌）?? 的組合，解決以下問題：
- ??安全性??：Access Token 短期有效降低泄露風險，Refresh Token 獨立存儲且過期時間長
- ??用戶體驗??：自動刷新 Access Token，用戶無感知續(xù)期
- ??合規(guī)性??：符合 OAuth 2.0 標準流程
二、技術棧組成
| 技術組件 | 作用 | 版本要求 |
|---|---|---|
| SpringBoot | 基礎框架 | 3.x |
| Apache Shiro | 認證和授權核心 | 2.0.0+ |
| Hutool-JWT | 令牌生成與驗證 | 5.8.24+ |
三、環(huán)境準備
3.1 創(chuàng)建 SpringBoot 項目
<!-- pom.xml -->
<dependencies>
<!-- Shiro核心依賴 -->
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-core</artifactId>
<classifier>jakarta</classifier>
<version>${shiro.version}</version>
</dependency>
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-spring</artifactId>
<classifier>jakarta</classifier>
<version>${shiro.version}</version>
<exclusions>
<exclusion>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-core</artifactId>
</exclusion>
<exclusion>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-web</artifactId>
</exclusion>
</exclusions>
</dependency>
<dependency>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-web</artifactId>
<classifier>jakarta</classifier>
<version>${shiro.version}</version>
<exclusions>
<exclusion>
<groupId>org.apache.shiro</groupId>
<artifactId>shiro-core</artifactId>
</exclusion>
</exclusions>
</dependency>
<!-- Hutool-JWT -->
<dependency>
<groupId>cn.hutool</groupId>
<artifactId>hutool-all</artifactId>
<version>5.8.39</version>
</dependency>
</dependencies>四、核心代碼實現(xiàn)
4.1 JWT工具類（JwtUtil.java）
import cn.hutool.core.lang.Assert;
import cn.hutool.core.util.ObjectUtil;
import cn.hutool.extra.spring.SpringUtil;
import cn.hutool.jwt.JWT;
import cn.hutool.jwt.JWTUtil;
import cn.hutool.core.date.DateTime;
import org.springframework.data.redis.core.RedisTemplate;
import java.util.HashMap;
import java.util.Map;
import java.util.concurrent.TimeUnit;
public class JwtUtil {
private static final String TOKEN_KEY = "sys:token:";
private static final long ACCESS_EXPIRE = 1000 * 60 * 15; // 15分鐘
/**
* 獲取密鑰（可選，我這里做的是動態(tài)配置的，可以根據(jù)需要寫死就行）
* @return 密鑰
*/
private static byte[] getJwtSSecret() {
SysParamsService sysParamsService = SpringUtil.getBean(SysParamsService.class);
String jwtSecret = sysParamsService.getValue("jwt.secret", true);
return jwtSecret.getBytes();
}
/**
* 獲取刷新token過期時間-單位天（可選，我這里做的是動態(tài)配置的，可以根據(jù)需要寫死就行）
* @return 過期時間-單位天
*/
private static int getRefreshExp() {
SysParamsService sysParamsService = SpringUtil.getBean(SysParamsService.class);
String refreshExp = sysParamsService.getValue("jwt.exp", true);
return Integer.parseInt(refreshExp);
}
// 生成雙Token
public static Map<String, String> generateTokens(Long userId,String username) {
Map<String, String> tokens = new HashMap<>();
// Access Token
tokens.put("accessToken", createToken(userId,username));
// Refresh Token
tokens.put("refreshToken", createRefreshToken(userId));
return tokens;
}
public static String createToken(Long userId,String username) {
Map<String, Object> payload = new HashMap<>();
payload.put("userId", userId);
payload.put("username", username);
payload.put("type", "access");
payload.put("exp", new DateTime(System.currentTimeMillis() + ACCESS_EXPIRE).getTime());
return JWTUtil.createToken(payload, getJwtSSecret());
}
public static String createRefreshToken(Long userId) {
Map<String, Object> payload = new HashMap<>();
payload.put("userId", userId);
payload.put("type", "refresh");
String refreshToken = JWTUtil.createToken(payload, getJwtSSecret());
RedisTemplate<String, String> redisTemplate = SpringUtil.getBean("redisTemplate", RedisTemplate.class);
redisTemplate.opsForValue().set(TOKEN_KEY+userId, refreshToken, getRefreshExp(), TimeUnit.DAYS);
return refreshToken;
}
// 刷新Token
public static void refreshAccessToken(String refreshToken) {
Assert.isTrue(JWTUtil.verify(refreshToken, getJwtSSecret()), "非法Token錯誤");
JWT jwt = JWTUtil.parseToken(refreshToken);
Assert.isTrue(ObjectUtil.equals("refresh", jwt.getPayload("type")), "非法Token錯誤");
Long userId = (Long) jwt.getPayload("userId");
RedisTemplate<String, String> redisTemplate = SpringUtil.getBean("redisTemplate", RedisTemplate.class);
String redis_refreshToken = redisTemplate.opsForValue().get(TOKEN_KEY + userId);
Assert.isTrue(ObjectUtil.equals(redis_refreshToken, refreshToken), "Token已過期");
//可選 用于延長緩存時間
long expire = redisTemplate.getExpire(TOKEN_KEY + userId, TimeUnit.DAYS);
if(expire == 0){
redisTemplate.expire(TOKEN_KEY + userId, 7, TimeUnit.DAYS);
}
}
/**
* 從Token中獲取用戶Id
* @param refreshToken JWT Token字符串
* @return 用戶Id
*/
public static Long getUserIdFromRefreshToken(String refreshToken) {
Assert.isTrue(JWTUtil.verify(refreshToken, getJwtSSecret()), "非法Token錯誤");
JWT jwt = JWTUtil.parseToken(refreshToken);
Assert.isTrue(ObjectUtil.equals("refresh", jwt.getPayload("type")), "非法Token錯誤");
Long userId = (Long) jwt.getPayload("userId");
RedisTemplate<String, String> redisTemplate = SpringUtil.getBean("redisTemplate", RedisTemplate.class);
long expire = redisTemplate.getExpire(TOKEN_KEY + userId, TimeUnit.DAYS);
Assert.isTrue(expire >= 0, "Token已過期");
String redis_refreshToken = redisTemplate.opsForValue().get(TOKEN_KEY + userId);
Assert.isTrue(ObjectUtil.equals(redis_refreshToken, refreshToken), "Token已過期");
return (Long) jwt.getPayload("userId");
}
/**
* 從Token中獲取用戶Id
* @param token JWT Token字符串
* @return 用戶Id
*/
public static Long getUserIdFromToken(String token) {
Assert.isTrue(JWTUtil.verify(token, getJwtSSecret()), "非法Token錯誤");
JWT jwt = JWTUtil.parseToken(token);
Assert.isTrue(ObjectUtil.equals(jwt.getPayload("type"),"access"), "非法Token錯誤");
Assert.isTrue(jwt.getPayload("exp")!=null && jwt.validate(0),"token已失效");
return (Long) jwt.getPayload("userId");
}
/**
* 從Token中獲取用戶名
* @param token JWT Token字符串
* @return 用戶名
*/
public static String getUsernameFromToken(String token) {
Assert.isTrue(JWTUtil.verify(token, getJwtSSecret()), "非法Token錯誤");
JWT jwt = JWTUtil.parseToken(token);
Assert.isTrue(jwt.getPayload("exp")!=null && jwt.validate(0),"token已失效");
return jwt.getPayload("username").toString();
}
}4.2 Shiro配置類（ShiroConfig.java）
import java.util.HashMap;
import java.util.LinkedHashMap;
import java.util.Map;
import org.apache.shiro.mgt.SecurityManager;
import org.apache.shiro.session.mgt.SessionManager;
import org.apache.shiro.spring.LifecycleBeanPostProcessor;
import org.apache.shiro.spring.security.interceptor.AuthorizationAttributeSourceAdvisor;
import org.apache.shiro.spring.web.ShiroFilterFactoryBean;
import org.apache.shiro.web.config.ShiroFilterConfiguration;
import org.apache.shiro.web.mgt.DefaultWebSecurityManager;
import org.apache.shiro.web.session.mgt.DefaultWebSessionManager;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import jakarta.servlet.Filter;
@Configuration
public class ShiroConfig {
@Bean
public DefaultWebSessionManager sessionManager() {
DefaultWebSessionManager sessionManager = new DefaultWebSessionManager();
sessionManager.setSessionValidationSchedulerEnabled(false);
sessionManager.setSessionIdUrlRewritingEnabled(false);
return sessionManager;
}
@Bean("securityManager")
public SecurityManager securityManager(Oauth2Realm oAuth2Realm, SessionManager sessionManager) {
DefaultWebSecurityManager securityManager = new DefaultWebSecurityManager();
securityManager.setRealm(oAuth2Realm);
securityManager.setSessionManager(sessionManager);
securityManager.setRememberMeManager(null);
return securityManager;
}
@Bean("shiroFilter")
public ShiroFilterFactoryBean shirFilter(SecurityManager securityManager, SysParamsService sysParamsService) {
ShiroFilterConfiguration config = new ShiroFilterConfiguration();
config.setFilterOncePerRequest(true);
ShiroFilterFactoryBean shiroFilter = new ShiroFilterFactoryBean();
shiroFilter.setSecurityManager(securityManager);
shiroFilter.setShiroFilterConfiguration(config);
Map<String, Filter> filters = new HashMap<>();
// oauth過濾
filters.put("oauth2", new Oauth2Filter());
Map<String, String> filterMap = new LinkedHashMap<>();
filterMap.put("/v3/api-docs/**", "anon");
filterMap.put("/doc.html", "anon");
filterMap.put("/favicon.ico", "anon");
filterMap.put("/refreshToken", "anon");
filterMap.put("/login", "anon");
filterMap.put("/**", "oauth2");
shiroFilter.setFilterChainDefinitionMap(filterMap);
return shiroFilter;
}
@Bean("lifecycleBeanPostProcessor")
public LifecycleBeanPostProcessor lifecycleBeanPostProcessor() {
return new LifecycleBeanPostProcessor();
}
@Bean
public AuthorizationAttributeSourceAdvisor authorizationAttributeSourceAdvisor(SecurityManager securityManager) {
AuthorizationAttributeSourceAdvisor advisor = new AuthorizationAttributeSourceAdvisor();
advisor.setSecurityManager(securityManager);
return advisor;
}
}4.3 注冊過濾器
@Configuration
public class FilterConfig {
@Bean
public FilterRegistrationBean<DelegatingFilterProxy> shiroFilterRegistration() {
FilterRegistrationBean<DelegatingFilterProxy> registration = new FilterRegistrationBean<>();
registration.setFilter(new DelegatingFilterProxy("shiroFilter"));
// 該值缺省為false，表示生命周期由SpringApplicationContext管理，設置為true則表示由ServletContainer管理
registration.addInitParameter("targetFilterLifecycle", "true");
registration.setEnabled(true);
registration.setOrder(Integer.MAX_VALUE - 1);
registration.addUrlPatterns("/*");
return registration;
}
}4.4 注冊oauth2過濾器
public class Oauth2Filter extends AuthenticatingFilter {
private static final Logger logger = LoggerFactory.getLogger(Oauth2Filter.class);
@Override
protected AuthenticationToken createToken(ServletRequest request, ServletResponse response) throws Exception {
// 獲取請求token
String token = getRequestToken((HttpServletRequest) request);
if (StringUtils.isBlank(token)) {
logger.warn("createToken:token is empty");
return null;
}
return new Oauth2Token(token);
}
@Override
protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) {
if (((HttpServletRequest) request).getMethod().equals(RequestMethod.OPTIONS.name())) {
return true;
}
return false;
}
@Override
protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {
// 獲取請求token，如果token不存在，直接返回401
String token = getRequestToken((HttpServletRequest) request);
if (StringUtils.isBlank(token)) {
logger.warn("onAccessDenied:token is empty");
HttpServletResponse httpResponse = (HttpServletResponse) response;
httpResponse.setContentType("application/json;charset=utf-8");
httpResponse.setHeader("Access-Control-Allow-Credentials", "true");
httpResponse.setHeader("Access-Control-Allow-Origin", HttpContextUtils.getOrigin());
String json = JsonUtils.toJsonString(new Result<Void>().error(ErrorCode.UNAUTHORIZED));
httpResponse.getWriter().print(json);
return false;
}
return executeLogin(request, response);
}
@Override
protected boolean onLoginFailure(AuthenticationToken token, AuthenticationException e, ServletRequest request,
ServletResponse response) {
HttpServletResponse httpResponse = (HttpServletResponse) response;
httpResponse.setContentType("application/json;charset=utf-8");
httpResponse.setHeader("Access-Control-Allow-Credentials", "true");
httpResponse.setHeader("Access-Control-Allow-Origin", HttpContextUtils.getOrigin());
try {
Throwable throwable = e.getCause() == null ? e : e.getCause();
Result<Void> r = new Result<Void>().error(ErrorCode.UNAUTHORIZED, throwable.getMessage());
String json = JsonUtils.toJsonString(r);
httpResponse.getWriter().print(json);
} catch (IOException e1) {
}
return false;
}
/**
* 獲取請求的token
*/
private String getRequestToken(HttpServletRequest httpRequest) {
String token = null;
// 從header中獲取token
String authorization = httpRequest.getHeader(Constant.AUTHORIZATION);
if (StringUtils.isNotBlank(authorization) && authorization.startsWith("Bearer ")) {
token = authorization.replace("Bearer ", "");
}
return token;
}
}4.5 認證類
import java.util.HashSet;
import java.util.Set;
import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.AuthenticationInfo;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authc.DisabledAccountException;
import org.apache.shiro.authc.IncorrectCredentialsException;
import org.apache.shiro.authc.LockedAccountException;
import org.apache.shiro.authc.SimpleAuthenticationInfo;
import org.apache.shiro.authz.AuthorizationInfo;
import org.apache.shiro.authz.SimpleAuthorizationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import org.apache.shiro.subject.PrincipalCollection;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;
import org.springframework.context.annotation.Lazy;
import org.springframework.stereotype.Component;
import jakarta.annotation.Resource;
@Component
public class Oauth2Realm extends AuthorizingRealm {
@Resource
private UserService userService;
private static final Logger logger = LoggerFactory.getLogger(Oauth2Realm.class);
@Override
public boolean supports(AuthenticationToken token) {
return token instanceof Oauth2Token;
}
/**
* 授權(驗證權限時調用)
*/
@Override
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
UserDetail user = (UserDetail) principals.getPrimaryPrincipal();
// 用戶權限列表
Set<String> permsSet = new HashSet<>();
if (user.getSuperAdmin() == SuperAdminEnum.YES.value()) {
permsSet.add("sys:role:superAdmin");
permsSet.add("sys:role:normal");
} else {
permsSet.add("sys:role:normal");
}
SimpleAuthorizationInfo info = new SimpleAuthorizationInfo();
info.setStringPermissions(permsSet);
return info;
}
/**
* 認證(登錄時調用)
*/
@Override
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
String accessToken = (String) token.getPrincipal();
// 根據(jù)accessToken，查詢用戶信息
Long userId = JwtUtil.getUserIdFromToken(accessToken);
Assert.notNull(userId, "token已過期，請重新登入");
// 查詢用戶信息
SysUserEntity userEntity = userService.getUser(userId);
// 轉換成UserDetail對象
UserDetail userDetail = ConvertUtils.sourceToTarget(userEntity, UserDetail.class);
SimpleAuthenticationInfo info = new SimpleAuthenticationInfo(userDetail, accessToken, getName());
return info;
}
}4.6 token類
public class Oauth2Token implements AuthenticationToken {
private String token;
public Oauth2Token(String token) {
this.token = token;
}
@Override
public String getPrincipal() {
return token;
}
@Override
public Object getCredentials() {
return token;
}
}4.7 Shiro獲取用戶信息工具類
public class SecurityUser {
public static Subject getSubject() {
try {
return SecurityUtils.getSubject();
} catch (Exception e) {
return null;
}
}
/**
* 獲取用戶信息
*/
public static UserDetail getUser() {
Subject subject = getSubject();
if (subject == null) {
return new UserDetail();
}
UserDetail user = (UserDetail) subject.getPrincipal();
if (user == null) {
return new UserDetail();
}
return user;
}
public static String getToken() {
return getUser().getToken();
}
/**
* 獲取用戶ID
*/
public static Long getUserId() {
return getUser().getId();
}
}五、雙Token實現(xiàn)原理
5.1 Token結構對比
| Token類型 | 有效期 | 存儲位置 | 包含信息 |
|---|---|---|---|
| Access Token | 15分鐘 | 客戶端 | 用戶ID、用戶名稱，類型，過期時間，角色(可選)、權限(可選) |
| Refresh Token | 7天 | 客戶端，Redis | 用戶ID、類型 |
5.2 核心流程圖
六、完整代碼示例
6.1 登錄控制器（AuthController.java）
@RestController
public class AuthController {
@PostMapping("/login")
public Result login(@RequestBody LoginRequest request) {
User user = userService.findByUsername(request.getUsername());
if (user == null || !user.getPassword().equals(request.getPassword())) {
return Result.error("賬號或密碼錯誤");
}
String accessToken = JwtUtil.createAccessToken(
user.getUsername(),
user.getId()
);
String refreshToken = JwtUtil.createRefreshToken(user.getUsername(),user.getId());
return Result.success(Map.of(
"accessToken", accessToken,
"refreshToken", refreshToken
));
}
@PostMapping("/refreshToken")
public Result<String> refreshToken(@RequestHeader("refreshToken") String refreshToken) {
Long userId = JwtUtil.getUserIdFromRefreshToken(refreshToken);
//if(userId==null)userId=1904748826795986946L;
SysUserDTO user = sysUserService.getByUserId(userId);
Assert.notNull(user, "token異常，非法登入");
String newAccessToken = JwtUtil.createToken(user.getId(),user.getUsername());
JwtUtil.refreshAccessToken(refreshToken);//自動續(xù)租
return new Result<String>().ok(newAccessToken);
}
}七、雙Token優(yōu)勢總結
| ??維度?? | ??單Token方案?? | ??雙Token方案?? |
|---|---|---|
| ??安全性?? | 單一Token泄露風險高 | Access Token短期有效，Refresh Token雙存儲(可自動延遲過期時間，并保證安全性) |
| ??用戶體驗?? | 頻繁登錄/重新認證 | 自動續(xù)期，用戶無感知 |
| ??合規(guī)性?? | 不符合OAuth2.0標準 | 完全遵循OAuth2.0標準流程 |
八 、補充
為確保系統(tǒng)的安全性，本方案采用了??單刷新Token綁定機制??。具體而言，每個用戶的刷新Token（Refresh Token）與單一設備或終端綁定。當同一用戶在其他設備或終端上登錄時，新的登錄操作將導致之前設備的刷新Token失效（通常伴隨Access Token的到期登入失效）。這種機制有效防止了同一賬戶在多設備間的異常并行登錄，增強了賬戶的安全性。
然而，根據(jù)不同的業(yè)務需求和安全策略，開發(fā)者可以根據(jù)實際情況對Token管理機制進行調整。例如，若業(yè)務場景允許多設備同時在線，可以修改Token綁定策略，支持多刷新Token共存。此外，開發(fā)者們也歡迎在下方評論區(qū)提出自己的建議，共同探討和優(yōu)化。
到此這篇關于SpringBoot集成Shiro+JWT(Hutool)完整代碼示例的文章就介紹到這了,更多相關SpringBoot Shiro JWT集成內容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關文章希望大家以后多多支持腳本之家！
相關文章
這篇文章主要介紹了Spring Boot打包部署和環(huán)境配置詳解，文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值，需要的朋友們下面隨著小編來一起學習學習吧2019-05-05
這篇文章主要給大家介紹了關于利用Java刪除文件、目錄及目錄下所有文件的方法,文中給出了詳細的示例代碼與注解，有需要的朋友可以參考借鑒，下面來一起看看吧。2016-12-12
java實現(xiàn)上傳網(wǎng)絡圖片到微信臨時素材
這篇文章主要為大家詳細介紹了java實現(xiàn)上傳網(wǎng)絡圖片到微信臨時素材，網(wǎng)絡圖片上傳到微信服務器，具有一定的參考價值，感興趣的小伙伴們可以參考一下2018-07-07
今天小編就為大家分享一篇關于Java源碼解析ThreadLocal及使用場景，小編覺得內容挺不錯的，現(xiàn)在分享給大家，具有很好的參考價值，需要的朋友一起跟隨小編來看看吧2019-01-01
當涉及到分布式系統(tǒng)中的并發(fā)控制和數(shù)據(jù)一致性時，分布式鎖是一種常見的解決方案，本文將對幾種常見的分布式鎖實現(xiàn)原理、實現(xiàn)示例、應用場景以及優(yōu)缺點進行詳細分析，需要的可以參考一下2023-05-05
注解（Annotation）是放在Java源碼的類、方法、字段、參數(shù)前的一種特殊“注釋”，這篇文章主要介紹了Java中如何使用注解,需要的朋友可以參考下2023-06-06
這篇文章主要介紹了如何利用JavaWeb實現(xiàn)文件的上傳和下載功能，文中的示例代碼講解詳細，對我們的學習或工作有一定的幫助，感興趣的小伙伴可以學習一下2021-12-12
這篇文章主要介紹了Java實現(xiàn)軟件運行時啟動信息窗口的方法,比較實用的功能,需要的朋友可以參考下2014-08-08
這篇文章主要介紹了Groovy的規(guī)則腳本引擎實例解讀，具有很好的參考價值，希望對大家有所幫助。如有錯誤或未考慮完全的地方，望不吝賜教2023-03-03
本篇文章是對java中靜態(tài)方法的重寫問題進行了詳細的分析介紹，需要的朋友參考下2013-06-06