一、背景

前后端分離已經成為互聯網項目開發標準，它會為以后的大型分布式架構打下基礎。SpringBoot使編碼配置部署都變得簡單，越來越多的互聯網公司已經選擇SpringBoot作為微服務的入門級微框架。

Mybatis-Plus是一個 Mybatis 的增強工具，有代碼生成器，并且提供了類似hibernate的單表CRUD操作，又保留了mybatis的特性支持定制化 SQL。

Apache Shiro是一款強大易用的Java安全框架，Java官方推薦使用Shiro，它比Spring Security更簡單易用，Spring自己的系列Spring side4也把權限擴建換成Shiro了。

現在API越來越流行，如何安全保護這些API？ JSON Web Tokens(JWT)能提供基于JSON格式的安全認證。JWT可以跨不同語言，自帶身份信息，并且非常容易傳遞。

二、項目特性

1.自定義@Log注解自動記錄日志到數據庫。

2.自定義@Pass注解接口不用進行認證身份。

3.使用JSONObject統一獲取body請求參數，減少實體類的數量。完成自定義@ValidationParam注解驗證請求參數是否為空。

4.使用bcrypt算法加密密碼，著名代碼托管網站Github和美國軍方防火墻同樣采用此算法，靠bcrypt算法會成功保住密碼強度不算很高的大部分賬戶。

5.搭配Shiro注解配置權限，高度靈活，提供按鈕級別的權限控制，后端接口只驗證權限，不看角色。用自定義@CurrentUser注解獲取當前登錄用戶，Controlle層統一異常處理：

6.用SpringAOP切面編程進行聲明式事務，過濾請求參數，防止XSS攻擊。

7.使用POST請求登錄返回token和權限信息，保證請求無狀態，返回實體如果屬性為空不顯示。

三、程序邏輯

1.填寫用戶名密碼用POST請求訪問/login接口，返回token令牌等信息，失敗則直接跳轉401錯誤頁面。

2.在之后需要驗證身份的請求的Headers中添加Authorization和登錄時返回的token令牌。

3.服務端進行token認證，失敗跳轉401頁面。

4.用jwt做認證（登錄），Shiro做授權。

四、運行項目

項目結構：

• 通過git下載源碼，本項目基于JDK1.8

• 采用Maven項目管理，模塊化，導入IDE時直接選定liugh-parent的pom導入

• 創建數據庫liugh，數據庫編碼為UTF-8，執行liugh.sql文件，初始化數據

• 修改application-dev.properties，更新MySQL賬號和密碼

• Eclipse、IDEA運行SpringbootApplication.java，則可啟動項目

• 訪問登錄接口：localhost:8081/login

• 賬號密碼：123456/123

• 獲取token訪問其他接口

• 運行截圖：

•