token登陆验证

article/2025/10/10 1:58:13

登陆业务的实现
由于http是无状态的，那么应该如何记住登录状态呢？
单一应用的服务中常见做法是在客户端cookie中保存sessionId,服务器端的session中保存sessionid,每次客户端发送请求的时候都带上sessionid，在服务器端进行验证。

在分布式系统中，由于服务器之间不能共享内存，因此服务器之间session不能互通，因此不能使用session去存储用户的登录信息，一般使用token方式去记录登录状态。token方式其实也和前面的方式大同小异，区别就是使用Redis缓存去存储这个用户标识。
在这里插入图片描述
token进行登录验证的步骤如下
(1)客户端输入用户名和密码向服务器端发起验证
(2)服务器端验证通过之后根据某种规则生成用户的token并返回，这个token保存在redis中,以保证不同服务器间的共享
(3)客户端存储该token，可以存储在sessionStorage或者cookie中
(4)后续服务器的每次请求都在请求头携带token发送到服务端
(5)服务端在执行方法前先对请求进行验证,取出token查询redis中有没有对应的值。
在这里插入图片描述
前端使用的技术
前端框架使用vue.js，用到的关键技术有路由导航守卫和拦截器
路由导航守卫主要是保证没有获得token时不能访问除登录外的其他页面，这里不对token进行验证，只是判断token存不存在
拦截器主要目的是让请求头携带token
在这里插入图片描述

后端使用的技术
后端框架使用springboot
使用到的关键技术主要是Redis,AOP以及拦截器

以下的方法主要是生成token，并把token存在redis中

@RestController
@RequestMapping("/seller/user")
@CrossOrigin
public class SellerUserController {@Autowiredprivate LoginService loginService;@Autowiredprivate StringRedisTemplate redisTemplate;@PostMapping("/login")public ResultVO login(@RequestBody LoginForm loginForm){SellerInfo sellerInfo=loginService.getSellerInfo(loginForm.getUsername(),loginForm.getPassword());UserVO userVo=new UserVO();//生成tokenif(sellerInfo!=null){String token = UUID.randomUUID().toString();userVo.setUsername(sellerInfo.getUsername());userVo.setToken(token);//设置token到redisInteger expire= RedisConstant.EXPIRE;redisTemplate.opsForValue().set(String.format(RedisConstant.TOKEN_PREFIX,token),sellerInfo.getUsername(),expire,TimeUnit.SECONDS);return ResultUtils.success(userVo);}return ResultUtils.fail(userVo);}}

public interface RedisConstant {String TOKEN_PREFIX ="token_%s";Integer EXPIRE =1800;
}

接下来的问题是如何在每个请求过来的时候都验证token，不可能对每一个Controller都加入验证token的方法，比较容易想到的方式是使用AOP编程

切入点就是Controller中执行对应业务的方法
然后在执行方法之前，从请求头中拿到token，然后在redis中查询这个token是否有对应的值，如果有就验证通过，没有就验证失败，然后抛出异常。

@Aspect
@Component
public class SellerAuthorizeAspect {@Autowiredprivate StringRedisTemplate redisTemplate;@Pointcut("execution(public * com.pers.food.controller.Seller*.*(..)) && !execution(public * com.pers.food.controller.SellerUserController.*(..))")public void verify(){}@Before("verify()")public void doverify(){ServletRequestAttributes attributes = (ServletRequestAttributes) RequestContextHolder.getRequestAttributes();HttpServletRequest request = attributes.getRequest();//从http请求头中拿到tokenString token=request.getHeader("Authorization");if(token==null){throw new UserException(ResultEnum.LOGIN_STATE_ERROR);}String tokenValue= redisTemplate.opsForValue().get(String.format(RedisConstant.TOKEN_PREFIX,token));if(StringUtils.isEmpty(tokenValue)){throw new UserException(ResultEnum.TOKEN_NOT_FOUND);}redisTemplate.opsForValue().set(String.format(RedisConstant.TOKEN_PREFIX,token),tokenValue,RedisConstant.EXPIRE, TimeUnit.SECONDS);}
}

使用@ControllerAdvice处理异常，出现异常就给前端返回错误码，前端再用拦截器处理，如果收到错误码就跳转回登录页面。

@ControllerAdvice
public class SellExceptionHandler {//拦截登陆异常@ExceptionHandler(value=UserException.class)@ResponseBodypublic ResultVO handleLoginExcpetion(){return ResultUtils.authorizeFail();}
}