Spring Boot不使用Spring Security实现邮箱密码登录校验的方案求助

现有代码问题汇总 #

• Repository层方法名拼写错误：findByEmailAndPaswword 中密码字段拼写错误（多写了一个w），会导致JPA无法正确映射字段抛出异常
• Controller层/loginemailpass接口冗余路径变量：路径中定义了{email}/{password}但实际通过请求体获取参数，且密码放在URL路径中属于严重安全风险，会被日志明文记录
• 缺少参数校验和异常返回逻辑：账号密码错误时直接返回null和200状态码，前端无法区分登录成功/失败
• 存在安全风险接口：/login、/login2接口会直接返回包含明文密码的用户信息，属于高危漏洞必须移除
• 密码存储风险：当前代码是明文校验密码，生产环境必须用BCrypt等加密算法加密存储，校验时比对密文

修正后代码 #

1. Repository 层修正拼写错误 #

import java.util.List;
import org.springframework.data.jpa.repository.JpaRepository;
import org.springframework.stereotype.Repository;
import demo.loginapi.main.model.UserModel;

@Repository
public interface UserRepository extends JpaRepository<UserModel, Long>{
    // 移除冗余查询方法，只保留需要的
    UserModel findByEmail(String email);
    // 修正拼写错误：Paswword -> Password
    UserModel findByEmailAndPassword(String email, String password);
}

2. Controller 层修正登录接口 #

import java.util.HashMap;
import java.util.List;
import java.util.Map;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.http.HttpStatus;
import org.springframework.http.ResponseEntity;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RequestBody;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;
import demo.loginapi.main.model.UserModel;
import demo.loginapi.main.repository.UserRepository;
import demo.loginapi.main.repository.UserService;

@RestController
@RequestMapping("/api/user")
public class UserController {
    
    @Autowired
    UserRepository userRepository;
    
    @Autowired
    UserService userService;
    
    @GetMapping("/getallusers")
    public List<UserModel> getAllCustomer(){
        return userRepository.findAll();
    }
    
    // 移除返回用户密码的高危接口：/login、/login2
    
    // 修正登录接口：去掉路径变量，添加错误返回逻辑
    @PostMapping("/login")
    public ResponseEntity<Map<String, String>> loginUser(@RequestBody Map<String, Object> userMap){
        String email = (String) userMap.get("email");
        String password = (String) userMap.get("password");
        
        // 基础空校验
        if(email == null || password == null || email.trim().isEmpty() || password.trim().isEmpty()){
            Map<String, String> err = new HashMap<>();
            err.put("msg", "邮箱和密码不能为空");
            return new ResponseEntity<>(err, HttpStatus.BAD_REQUEST);
        }
        
        UserModel userModel = userService.validate(email.trim().toLowerCase(), password);
        if(userModel == null){
            Map<String, String> err = new HashMap<>();
            err.put("msg", "邮箱或密码错误");
            return new ResponseEntity<>(err, HttpStatus.UNAUTHORIZED);
        }
        
        return new ResponseEntity<>(generateJWTToken(userModel), HttpStatus.OK);
    }

    private Map<String, String> generateJWTToken(UserModel userModel) {
        Map<String, String> res = new HashMap<>();
        res.put("msg", "登录成功");
        res.put("username", userModel.getUsername());
        res.put("role", userModel.getRole());
        // 后续在这里补充JWT生成逻辑即可
        // res.put("token", 实际生成的jwt字符串);
        return res;
    }
}

3. Service实现层同步修正调用的方法名 #

package demo.loginapi.main.repository;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Service;
import demo.loginapi.main.model.UserModel;

@Service
public class UserRepoImpl implements UserService{
    @Autowired
    UserRepository userRepository;
    
    @Override
    public UserModel validate(String email, String password) {
        return userRepository.findByEmailAndPassword(email, password);
    }
}

安卓端调用说明 #

请求方式：POST
请求地址：你的服务地址/api/user/login
请求头设置：Content-Type: application/json
请求体示例：

{
  "email": "test@example.com",
  "password": "你设置的密码"
}

生产环境优化建议 #

• 密码必须加密存储：使用Spring Security提供的BCryptPasswordEncoder对注册的密码加密，登录时把前端传的明文加密后和数据库密文比对，不要明文存密码
• 接入JWT生成逻辑：登录成功后返回JWT令牌，后续安卓端请求都携带令牌做身份校验
• 接口加限流、防暴力破解逻辑：限制同一个邮箱短时间内的登录请求次数，防止密码被暴力破解

内容的提问来源于stack exchange，提问作者Pragyanshree Das