准备
开始本教程的时候希望对下面知识点进行粗略的了解。
知道 JWT 的基本概念
了解过 Spring Security
本项目中 密钥是使用用户自己的登入密码，这样每一个 的密钥都不同，相对比较安全。
大体思路：
登入：
POST 用户名密码到 \login
请求到达 JwtAuthenticationFilter 中的 attemptAuthentication() 方法，获取 request 中的 POST 参数，包装成一个 UsernamePasswordAuthenticationToken 交付给 AuthenticationManager 的 authenticate() 方法进行鉴权。
AuthenticationManager 会从 CachingUserDetailsService 中查找用户信息，并且判断账号密码是否正确。
如果账号密码正确跳转到 JwtAuthenticationFilter 中的 successfulAuthentication() 方法，我们进行签名，生成 token 返回给用户。
账号密码错误则跳转到 JwtAuthenticationFilter 中的 unsuccessfulAuthentication() 方法，我们返回错误信息让用户重新登入。
请求鉴权：
请求鉴权的主要思路是我们会从请求中的 Authorization 字段拿取 token，如果不存在此字段的用户，Spring Security 会默认会用 包装它，即代表匿名用户。
任意请求发起
到达 JwtAuthorizationFilter 中的 doFilterInternal() 方法，进行鉴权。
如果鉴权成功我们把生成的 Authentication 用 SecurityContextHolder.getContext().setAuthentication() 放入 Security，即代表鉴权完成。此处如何鉴权由我们自己代码编写，后序会详细说明。
准备 pom.xml
pom.xml 配置文件这块没有什么好说的，主要说明下面的几个依赖：
因为 ehcache 读取 xml 配置文件时使用了这几个依赖，而这几个依赖从 JDK 9 开始时是选配模块，所以高版本的用户需要添加这几个依赖才能正常使用。
基础工作准备
接下来准备下几个基础工作，就是新建个实体、模拟个数据库，写个 JWT 工具类这种基础操作。
UserEntity.java
关于 role 为什么使用 GrantedAuthority 说明下：其实是为了简化代码，直接用了 Security 现成的 role 类，实际项目中我们肯定要自己进行处理，将其转换为 Security 的 role 类。
ResponseEntity.java
前后端分离为了方便前端我们要统一 json 的返回格式，所以自定义一个 ResponseEntity.java。
Database.java
这里我们使用一个 HashMap 模拟了一个数据库，密码我已经预先用 加密过了，这也是 Spring Security 官方推荐的加密算法（MD5 加密已经在 Spring Security 5 中被移除了，不安全）。
用户名密码权限jackjack123 存 Bcrypt 加密后ROLE_USERdannydanny123 存 Bcrypt 加密后ROLE_EDITORsmithsmith123 存 Bcrypt 加密后ROLE_ADMIN
UserService.java
这里再模拟一个 service，主要就是模仿数据库的操作。
JwtUtil.java
自己编写的一个工具类，主要负责 JWT 的签名和鉴权。
Spring Security 改造
登入这块，我们使用自定义的 来进行登入。
请求鉴权，我们使用自定义的 来处理。
也许大家觉得两个单词长的有点像，😜。
UserDetailsServiceImpl.java
我们首先实现官方的 接口，这里主要负责一个从数据库拿数据的操作。
后序我们还需要对其进行缓存改造，不然每次请求都要从数据库拿一次数据鉴权，对数据库压力太大了。
JwtAuthenticationFilter.java
这个过滤器主要处理登入操作，我们继承了 ，这样能大大简化我们的工作量。
此处处理的方法不是很好，我的想法是跳转到控制器中进行处理，但是这样鉴权成功的 token 带不过去，所以先这么写了，有点复杂。
JwtAuthorizationFilter.java
这个过滤器处理每个请求鉴权，我们选择继承 ，考虑到 Basic 认证和 JWT 比较像，就选择了它。
SecurityConfiguration.java
此处我们进行 Security 的配置，并且实现缓存功能。缓存这块我们使用官方现成的 ，唯独的缺点就是它没有 public 方法，我们不能正常实例化，需要曲线救国，下面代码也有详细说明。
Ehcache 配置
Ehcache 3 开始，统一使用了 JCache，就是 JSR107 标准，网上很多教程都是基于 Ehcache 2 的，所以大家可能在参照网上的教程会遇到很多坑。
JSR107：emm，其实 JSR107 是一种缓存标准，各个框架只要遵守这个标准，就是现实大一统。差不多就是我不需要更改系统代码，也能随意更换底层的缓存系统。
在 resources 目录下创建 文件：
在 中开启缓存支持：
统一全局异常
我们要把异常的返回形式也统一了，这样才能方便前端的调用。
我们平常会使用 来统一异常，但是它只能管理 Controller 层面抛出的异常。Security 中抛出的异常不会抵达 Controller，无法被 捕获，故我们还要改造 。
测试
写个控制器试试，大家也可以参考我控制器里面获取用户信息的方式，推荐使用 这个注解！！！
我这里还使用了 注解， 注解如下：
这样能省去每次编写一长串的 ，而且更加直观。
FAQ
如何解决JWT过期问题？
我们可以在 中加点料，如果用户快过期了，返回个特别的状态码，前端收到此状态码去访问 携带老的 token 重新拿一个新的 token 即可。
