使用SpringSecurity 进行自定义Token校验

下面是使用Spring Security进行自定义Token校验的完整攻略，步骤如下：

1. 添加依赖

在项目的pom.xml文件中添加如下依赖：

<dependency>
   <groupId>org.springframework.boot</groupId>
   <artifactId>spring-boot-starter-security</artifactId>
</dependency>

<dependency>
   <groupId>io.jsonwebtoken</groupId>
   <artifactId>jjwt</artifactId>
   <version>0.9.1</version>
</dependency>

2. 编写Token校验器

我们可以通过实现Spring Security的TokenValidator接口来创建自定义的Token校验器，以下是示例代码：

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.security.Keys;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.SimpleGrantedAuthority;
import org.springframework.security.web.authentication.preauth.PreAuthenticatedAuthenticationToken;

import java.security.Key;
import java.util.List;
import java.util.stream.Collectors;

public class JwtTokenValidator implements TokenValidator {

   private final Key key;

   public JwtTokenValidator(String secret) {
       this.key = Keys.hmacShaKeyFor(secret.getBytes());
   }

   @Override
   public Authentication validate(String token) {
       try {
           Claims claims = Jwts.parserBuilder()
                   .setSigningKey(key)
                   .build()
                   .parseClaimsJws(token)
                   .getBody();

           String username = claims.getSubject();
           List<String> roles = claims.get("roles", List.class);

           List<GrantedAuthority> authorities = roles.stream()
                   .map(SimpleGrantedAuthority::new)
                   .collect(Collectors.toList());

           return new PreAuthenticatedAuthenticationToken(username, null, authorities);
       } catch (Exception ex) {
           return null;
       }
   }
}

在上述代码中，我们使用了JJWT库来解析Token。我们创建了一个JwtTokenValidator类，类中定义了一个Key对象，这个Key对象将在解析Token时使用。

在validate方法中，我们首先解析传入的Token，获取其中存储的用户名和用户角色信息，并使用这些信息构建一个新的Authentication对象，并返回该对象。

3. 配置Spring Security

在项目的配置文件中配置Spring Security，以下是示例代码：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

   @Override
   protected void configure(HttpSecurity http) throws Exception {
       http.csrf().disable()
               .authorizeRequests()
               .antMatchers("/api/**").authenticated()
               .and()
               .addFilterBefore(tokenAuthenticationFilter(), BasicAuthenticationFilter.class);
   }

   @Bean
   public TokenAuthenticationFilter tokenAuthenticationFilter() {
       return new TokenAuthenticationFilter(tokenValidator());
   }

   @Bean
   public TokenValidator tokenValidator() {
       return new JwtTokenValidator("secrete-key");
   }
}

在上述代码中，我们禁用了CSRF防护，并且定义了对于所有以/api/开头的请求都需要被认证访问。

我们还定义了一个TokenAuthenticationFilter和一个TokenValidator的Bean，并且使用addFilterBefore方法将TokenAuthenticationFilter添加到Spring Security的过滤器链中。

4. 创建Token

我们可以使用JJWT库来创建Token，以下是示例代码：

import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.security.Keys;

import java.security.Key;
import java.util.Date;

public class JwtUtils {

   private static final long EXPIRATION_TIME = 86400000L;
   private static final String SECRET = "secrete-key";

   public static String createToken(String username, List<String> roles) {
       Key key = Keys.hmacShaKeyFor(SECRET.getBytes());

       return Jwts.builder()
               .signWith(key)
               .setSubject(username)
               .claim("roles", roles)
               .setExpiration(new Date(System.currentTimeMillis() + EXPIRATION_TIME))
               .compact();
   }
}

在上述代码中，我们使用JJWT库创建了一个Token，使用hmacShaKeyFor方法传入一个byte数组来生成Key对象，将这个Key对象传入builder()方法中。

使用setSubject方法设置Token的主题信息，即用户名，使用claim方法设置Token中包含的额外信息，此处我们传入了用户角色信息。

使用setExpiration方法设置Token的过期时间，该时间值应该是当前时间加上过期时间的毫秒数。

使用compact方法将Token压缩成一个字符串，并返回该字符串。

以上就是使用Spring Security进行自定义Token校验的完整攻略，包含了创建Token校验器、配置Spring Security和创建Token的过程，并且包含了两个示例代码。