基于Spring Boot与Redis的令牌主动失效机制实现

devtools/2024/11/14 9:35:56/

目录

  • 前言
  • 1. 项目结构和依赖配置
    • 1.1 项目依赖配置
    • 1.2 Redis连接配置
  • 2. 令牌主动失效机制的实现流程
    • 2.1 登录成功后将令牌存储到Redis中
    • 2.2 使用拦截器验证令牌
    • 2.3 用户修改密码后删除旧令牌
  • 3. Redis的配置与测试
  • 4. 可能的扩展与优化
  • 结语

前言

在现代Web系统中,用户认证是一个核心问题,尤其是在分布式系统和微服务架构中,如何高效、安全地管理用户登录状态显得尤为重要。通常,系统通过令牌(Token)来进行身份验证,令牌的生命周期控制对于安全性非常关键。当用户修改密码等敏感操作后,确保其之前的令牌失效,是一种常用的安全策略,可以有效防止凭证被盗后恶意访问的风险。本文将详细介绍基于Spring Boot和Redis实现令牌主动失效机制的设计与实现思路,帮助读者理解和应用该方案来提高系统的安全性和稳定性。

1. 项目结构和依赖配置

首先,我们需要基于Spring Boot搭建一个简单的Web项目,同时集成Redis作为缓存数据库,用于存储和管理用户令牌的状态信息。通过引入Redis,能够有效控制令牌的失效机制,从而实现对用户认证的动态管理。
在这里插入图片描述

1.1 项目依赖配置

在项目的pom.xml中添加如下依赖,用于集成Redis:

<dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-data-redis</artifactId>
</dependency>
<dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-web</artifactId>
</dependency>

1.2 Redis连接配置

application.yml中配置Redis的连接信息:

spring:redis:host: localhostport: 6379timeout: 6000mslettuce:pool:max-active: 8max-idle: 2min-idle: 1max-wait: -1ms

该配置将连接本地的Redis实例,并定义了连接池的基本参数。具体参数根据项目需求可以进一步调整。

2. 令牌主动失效机制的实现流程

在这里插入图片描述

在实现令牌主动失效机制时,我们需要进行三步操作:

  1. 用户登录成功后,系统会生成一个Token并将其存储在Redis中。
  2. 在后续的每次请求中,通过拦截器从Redis中验证令牌的有效性。
  3. 当用户修改密码等操作成功后,系统主动删除Redis中的Token,使之前的令牌失效。

下面将逐步实现上述功能。

2.1 登录成功后将令牌存储到Redis中

首先,在用户登录成功的情况下,系统会生成一个Token。为了方便讲解,这里采用一个简单的UUID作为Token示例。生成的Token不仅返回给前端,也会同步存储到Redis中,并设置一定的有效时间(如1小时)。

示例代码如下:

@Autowired
private StringRedisTemplate stringRedisTemplate;public String login(String username, String password) {// 生成TokenString token = UUID.randomUUID().toString();// 将Token存储到Redis中,有效期1小时ValueOperations<String, String> operations = stringRedisTemplate.opsForValue();operations.set(token, token, 1, TimeUnit.HOURS);// 返回给用户的响应中包含Tokenreturn token;
}

上述代码通过StringRedisTemplateopsForValue方法,将Token以键值对的形式存储到Redis中。Redis缓存会定时清除过期数据,因此可以避免手动管理令牌的过期处理。

2.2 使用拦截器验证令牌

每次用户请求时,我们需要验证用户携带的Token是否有效。通过Spring的拦截器机制,可以在请求进入控制器之前检查Redis中的Token,判断其是否有效。若Token无效或已过期,则拒绝访问。

拦截器代码如下:

public class LoginInterceptor implements HandlerInterceptor {@Autowiredprivate StringRedisTemplate stringRedisTemplate;@Overridepublic boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {// 从请求头中获取TokenString token = request.getHeader("Authorization");if (token == null || token.isEmpty()) {throw new RuntimeException("缺少令牌");}// 从Redis中查询TokenValueOperations<String, String> operations = stringRedisTemplate.opsForValue();String redisToken = operations.get(token);if (redisToken == null) {// Token不存在或已过期,抛出异常throw new RuntimeException("无效的令牌");}// Token有效,继续处理请求return true;}
}

LoginInterceptor中,我们通过StringRedisTemplateopsForValue方法获取Redis中的Token并与请求携带的Token对比。如果Token不存在,则直接拒绝该请求。若Token存在且有效,继续进行请求处理。

2.3 用户修改密码后删除旧令牌

当用户成功修改密码时,需要确保之前的Token立即失效。因此,成功修改密码后,我们需要从Redis中删除该用户的Token记录,防止旧Token被再次使用。

在修改密码的业务逻辑中,加入删除Token的代码:

public void changePassword(String username, String newPassword) {// 假设用户验证通过并修改了密码// 删除Redis中的旧TokenString token = getCurrentTokenForUser(username); // 从上下文或数据库中获取当前用户的TokenValueOperations<String, String> operations = stringRedisTemplate.opsForValue();operations.getOperations().delete(token);
}

在上述代码中,通过getOperations().delete()方法删除Token,使得旧Token立即失效。这样用户在修改密码后需要重新登录,保证了账户的安全性。

3. Redis的配置与测试

为了确保上述逻辑的正确性和Redis的稳定性,建议在开发阶段通过单元测试验证Redis的连接和数据操作。

@SpringBootTest
class RedisTest {@Autowiredprivate StringRedisTemplate stringRedisTemplate;@Testpublic void testSet() {ValueOperations<String, String> operations = stringRedisTemplate.opsForValue();operations.set("username", "zhangsan");operations.set("id", "1", 15, TimeUnit.SECONDS);// 检查存储的值String username = operations.get("username");System.out.println("用户名:" + username);}
}

以上代码将usernameid存储到Redis中,并设置了15秒的有效期。通过单元测试,可以直观地验证Redis的写入和有效期的功能是否正常工作。

4. 可能的扩展与优化

在实际应用中,可以进一步对该令牌失效机制进行扩展和优化:

  • 基于用户ID管理Token:可以在Redis中以userId为键,存储用户当前的Token,这样方便管理用户的多个Token(如多设备登录)。
  • 使用JWT(JSON Web Token):在Token中加入用户的相关信息(如用户ID、权限等),以减少对Redis的依赖。不过仍需在修改密码等场景下失效Token。
  • 动态调整Token有效期:可以根据用户的活跃度或敏感操作动态调整Token的过期时间,进一步提高系统的灵活性。

结语

本文详细介绍了基于Spring Boot和Redis实现令牌主动失效机制的完整流程,并提供了关键代码示例。通过将Token存储在Redis中并在必要时主动删除,确保了用户在修改密码等操作后的Token立即失效,从而有效增强了系统的安全性。这种方案在实际开发中具有良好的应用价值。通过适当扩展和优化,还可以满足更复杂的业务需求,为用户提供更优质的服务体验。


http://www.ppmy.cn/devtools/133600.html

相关文章

系统安全第十次作业题目及答案

一、 1.机密性 完整性 可用性 可控性 隐私性 2.存储介质 处理对象 管理系统 3.数据库 管理软件 4.库内加密 库外加密 5.潜在违规分析 基于异常检测的描述 简单攻击试探法 复杂攻击试探法 二、 1.B 2.ACDE 3.ABCDE 4.ABCEF 三、 1. 答&#xff1a;&#xff08;1&…

[CKS] Docker守护进程

目前的所有题目为2024年10月后更新的最新题库&#xff0c;考试的k8s版本为1.31.1 Task 执行以下任务&#xff0c;以保护集群节点cks000037 从 docker 组中删除用户 developer 不要从任何其他组中删除用户 重新配置并重启Docker守护程序&#xff0c;以确保位于/var/run/docke…

如何将Nop平台与Solon框架集成

Solon是一个基于Java的国产轻量级微服务框架&#xff0c;详细介绍参见官网https://solon.noear.org/ 。Solon的启动速度很快&#xff0c;占用内存很小&#xff0c;可以作为SpringBoot的一个替代品。Nop平台是基于可逆计算原理从零开始研发的下一代低代码平台&#xff0c;它的核…

农业遥感产业和技术分析

橙蜂智能公司致力于提供先进的人工智能和物联网解决方案&#xff0c;帮助企业优化运营并实现技术潜能。公司主要服务包括AI数字人、AI翻译、埃域知识库、大模型服务等。其核心价值观为创新、客户至上、质量、合作和可持续发展。 橙蜂智农的智慧农业产品涵盖了多方面的功能&…

火山引擎云服务docker 安装

安装 Docker 登录云服务器。 执行以下命令&#xff0c;添加 yum 源。 yum update -y yum install epel-release -y yum clean all yum list依次执行以下命令&#xff0c;添加Docker CE镜像源。更多操作请参考Docker CE镜像。 # 安装必要的一些系统工具 sudo yum install -y yu…

[Redis] Redis哨兵机制

&#x1f338;个人主页:https://blog.csdn.net/2301_80050796?spm1000.2115.3001.5343 &#x1f3f5;️热门专栏: &#x1f9ca; Java基本语法(97平均质量分)https://blog.csdn.net/2301_80050796/category_12615970.html?spm1001.2014.3001.5482 &#x1f355; Collection与…

STM32F1系列CAN外设详解·标识符过滤器的使用以及各模式的介绍

目录 1. CAN外设简介 1.1 CAN网拓扑结构 1.2 引脚定义 1.3 CAN框图 1.4 发送流程 1.5 接收流程 1.6 标识符过滤器 1.6.1 2个32位过滤器-标识符列表 1.6.2 4个16位过滤器-标识符列表 1.6.3 1个32位过滤器-标识符屏蔽 1.6.4 2个16位过滤器-标识符屏蔽 1.7…

(蓝桥杯C/C++)——动态规划(DP)

目录 一、线性DP 1.DP(动态规划)简介 2.动态规划的分析步骤 3.例题讲解 二、二维DP 1.二维DP简介 2.选数异或 三、最长上升子序列LIS 1.LIS简介 2.例题讲解 四、最长公共子序列LCS 1.最长公共子序列 2.最长公共子序列 2.求出具体子序列 一、线性DP 1.DP(动态规划)…