Spring Boot+Angular2基于Facebook OAuth2手动实现JWT认证咨询

你的思路完全没问题！这其实是第三方OAuth2认证后转换为自有JWT的标准实践之一，能有效减少对Facebook授权服务器的依赖，大幅提升后端的验证效率，非常合理。

关于这类场景的最佳实践，给你几个关键点：

• 短期令牌转自有JWT：Facebook的Access Token有有效期（短期令牌通常几小时，长期令牌约60天），转换为自有JWT后，你可以自定义有效期（比如15分钟的短期JWT），同时搭配刷新令牌机制，避免用户频繁重新授权。
• 本地存储用户信息：后端验证Facebook令牌后，建议将用户核心信息（如Facebook ID、邮箱、昵称）存入自己的数据库，后续通过JWT中的用户ID关联本地数据，无需每次请求都调用Facebook接口。
• JWT安全规范：JWT仅存储非敏感的用户标识信息，不要放密码等敏感数据；签名算法推荐用非对称的RS256（私钥签名、公钥验证），比HS256更安全；客户端存储JWT时，优先用HttpOnly Cookie（跨域场景下可存在localStorage，但要做好XSS防护），并通过Angular的HttpInterceptor自动在请求头添加Authorization: Bearer <JWT>。
• 刷新令牌机制：当JWT过期时，客户端用预先获取的refresh token（存在后端数据库，关联用户ID）向服务器换取新的JWT，无需重新走Facebook认证流程，提升用户体验。

a. 验证Facebook Access Token并获取用户信息 #

后端（Spring Boot）可以直接调用Facebook的Graph API来验证令牌有效性，同时拉取用户信息，无需依赖复杂框架：

1. 调用Facebook的用户信息接口：发送GET请求到https://graph.facebook.com/me?access_token=<你的客户端传来的Access Token>&fields=id,name,email,picture
2. 根据响应状态判断令牌是否有效：200响应表示令牌有效，同时能拿到用户信息；400/401响应则说明令牌无效或过期。

Spring Boot中用WebClient实现的示例代码：

import org.springframework.web.reactive.function.client.WebClient;
import reactor.core.publisher.Mono;

@Service
public class FacebookAuthService {

    private final WebClient webClient;

    // 构造注入WebClient
    public FacebookAuthService(WebClient.Builder webClientBuilder) {
        this.webClient = webClientBuilder.baseUrl("https://graph.facebook.com").build();
    }

    public Mono<FacebookUser> validateTokenAndFetchUser(String accessToken) {
        return webClient.get()
                .uri(uriBuilder -> uriBuilder.path("/me")
                        .queryParam("access_token", accessToken)
                        .queryParam("fields", "id,name,email,picture")
                        .build())
                .retrieve()
                .bodyToMono(FacebookUser.class);
    }

    // 定义接收用户信息的实体类
    public static class FacebookUser {
        private String id;
        private String name;
        private String email;
        private Picture picture;

        // Getter & Setter
        public static class Picture {
            private Data data;

            // Getter & Setter
            public static class Data {
                private String url;

                // Getter & Setter
            }
        }
    }
}

调用这个方法时，如果抛出WebClientResponseException，就说明令牌无效，直接返回401给客户端即可。

b. 从用户信息生成JWT #

手动生成JWT可以用轻量的JJWT库，无需引入Spring Security OAuth这类复杂框架：

1. 先在pom.xml添加JJWT依赖：

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-api</artifactId>
    <version>0.11.5</version>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-impl</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-jackson</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>

2. 编写JWT生成与验证的工具类：

import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import io.jsonwebtoken.security.Keys;
import java.security.Key;
import java.util.Date;
import java.util.HashMap;
import java.util.Map;

@Component
public class JwtTokenUtil {

    // 生产环境建议用环境变量或配置中心存储密钥，不要硬编码
    private final Key secretKey = Keys.secretKeyFor(SignatureAlgorithm.HS256);
    // JWT有效期：15分钟
    private static final long JWT_EXPIRATION = 15 * 60 * 1000;

    // 生成JWT
    public String generateToken(FacebookAuthService.FacebookUser user) {
        Map<String, Object> claims = new HashMap<>();
        claims.put("fbUserId", user.getId());
        claims.put("email", user.getEmail());
        claims.put("name", user.getName());

        return Jwts.builder()
                .setClaims(claims)
                .setIssuedAt(new Date())
                .setExpiration(new Date(System.currentTimeMillis() + JWT_EXPIRATION))
                .signWith(secretKey)
                .compact();
    }

    // 验证JWT有效性
    public boolean validateToken(String token) {
        try {
            Jwts.parserBuilder()
                    .setSigningKey(secretKey)
                    .build()
                    .parseClaimsJws(token);
            return true;
        } catch (Exception e) {
            // 捕获JWT过期、签名无效等异常
            return false;
        }
    }

    // 从JWT中解析用户信息
    public Map<String, Object> getClaimsFromToken(String token) {
        return Jwts.parserBuilder()
                .setSigningKey(secretKey)
                .build()
                .parseClaimsJws(token)
                .getBody();
    }
}

因为Angular和Spring Boot部署在不同服务器，需要在Spring Boot中配置CORS，允许客户端域名的请求，并放行Authorization头：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.cors.CorsConfiguration;
import org.springframework.web.cors.UrlBasedCorsConfigurationSource;
import org.springframework.web.filter.CorsFilter;

@Configuration
public class CorsConfig {

    @Bean
    public CorsFilter corsFilter() {
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        CorsConfiguration config = new CorsConfiguration();
        config.setAllowCredentials(true);
        // 允许客户端域名，生产环境不要用*
        config.addAllowedOrigin("http://your-angular-domain.com");
        config.addAllowedHeader("*");
        config.addAllowedMethod("*");
        source.registerCorsConfiguration("/**", config);
        return new CorsFilter(source);
    }
}

内容的提问来源于stack exchange，提问作者Vip