Java实战：Spring Boot实现无感刷新Token机制

本文由简悦 SimpRead 转码，原文地址 blog.csdn.net

引言

在当前的 Web 应用开发中，JSON Web Tokens（JWT）作为一种轻量级的认证协议，因其无状态、自包含的特性而备受青睐。然而，JWT 默认的有效期有限，如何在不影响用户体验的前提下实现 Token 的自动刷新，即所谓的 “无感刷新 Token”，成为了许多开发者关注的问题。本文将深入探讨如何在 Spring Boot 项目中实现无感刷新 Token 机制，并通过具体的示例代码，逐步引导读者掌握这一核心技术。

一、理解 JWT 与 Token 刷新

JWT 基础
JSON Web Tokens 由头部（Header）、载荷（Payload）和签名（Signature）三部分组成，其中载荷部分可以携带过期时间（exp）。一旦 Token 过期，用户必须重新登录以获取新的 Token。
Token 刷新
无感刷新 Token，是指在用户正常操作期间，系统在后台自动刷新 Token 的有效期，避免因 Token 过期而导致用户被迫重新登录。

二、基于 Refresh Token 的双 Token 机制

Refresh Token
一种常见的无感刷新 Token 策略是采用双 Token 机制，即同时发放 Access Token 和 Refresh Token。Access Token 用于身份验证，有效期较短；Refresh Token 用于获取新的 Access Token，有效期较长。
刷新流程
当 Access Token 即将过期时，客户端携带 Refresh Token 向服务器请求新的 Access Token，服务器验证 Refresh Token 有效后，颁发新的 Access Token，并可以选择性地更新 Refresh Token。

三、Spring Boot 实现无感刷新 Token 实战

生成与解析 JWT
首先，我们需要引入 JWT 相关的依赖，如jjwt，并实现 JWT 的生成与解析。

// JWT工具类
@Component
public class JwtUtil {
    
    private String secret = "your-secret-key"; // 密钥
    
    public String generateToken(UserDetails userDetails) {
        // 创建JWT并设置过期时间、载荷信息
        // ...
        return Jwts.builder()
            .setSubject(userDetails.getUsername())
            .setExpiration(new Date(System.currentTimeMillis() + expirationTime))
            .signWith(SignatureAlgorithm.HS512, secret)
            .compact();
    }

    public Boolean validateToken(String token, UserDetails userDetails) {
        // 验证JWT有效性
        // ...
    }

    public String refreshToken(String token) {
        // 从token中提取subject（用户名）
        // 检查Refresh Token有效性
        // 生成新的Access Token
        // ...
    }
}

拦截器实现 Token 刷新
创建一个 Spring Security 拦截器，用于处理带有 JWT 的 HTTP 请求，并在必要时自动刷新 Token。

@Component
public class JwtRequestFilter extends OncePerRequestFilter {

    @Autowired
    private JwtUtil jwtUtil;

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain)
            throws ServletException, IOException {
        
        String authorizationHeader = request.getHeader("Authorization");
        if (authorizationHeader != null && authorizationHeader.startsWith("Bearer ")) {
            String token = authorizationHeader.substring(7); // 获取Token
            String username = jwtUtil.extractUsername(token); // 提取用户名

            // 检查Token是否过期，如果即将过期，则尝试刷新Token
            if (jwtUtil.isTokenAboutToExpire(token)) {
                String refreshedToken = jwtUtil.refreshToken(token);
                // 更新响应头中的Token信息
                // ...
            }
        }

        chain.doFilter(request, response);
    }
}

客户端处理 Token 刷新
在前端或移动端，通过监听 HTTP 请求的响应头，获取新的 Access Token，并更新本地存储。

四、进一步优化与注意事项

Refresh Token 安全性
为保证系统安全，Refresh Token 应具备足够的保护措施，如限制其生命周期、禁止跨域使用、考虑绑定设备等。
离线刷新
对于某些场景，可以考虑实现离线刷新 Token，即在客户端检测到 Token 即将过期时，即使用户尚未发起新的 HTTP 请求，也主动向服务器请求新的 Token。
API Gateway 集成
在微服务架构中，可以利用 API Gateway 处理 Token 刷新，减轻服务端的压力，同时实现更灵活的刷新策略。

五、结论

通过本文的阐述与示例，我们了解到如何在 Spring Boot 中实现基于 JWT 的无感刷新 Token 机制。实际应用中，应根据项目需求，结合最佳实践，对 Token 刷新策略进行合理设计与优化，以实现既保证系统安全性，又能提供良好用户体验的目标。

Java实战：Spring Boot实现无感刷新Token机制

目录