التحقق باستخدام JWT

JWT Helper Class

بننشئ كلاس JwtHelper يحتوي على كل العمليات المتعلقة بالتوكنز:

@Component
public class JwtHelper {

    @Value("${jwt.secret}")
    private String secret;

    public String generateToken(Map<String, Object> extraClaims, UserDetails userDetails) {
        return Jwts.builder()
            .claims(extraClaims)
            .subject(userDetails.getUsername())
            .issuedAt(new Date())
            .expiration(new Date(System.currentTimeMillis() + 1000 * 60 * 60))
            .signWith(getSigningKey())
            .compact();
    }

    public String extractUsername(String token) {
        return extractClaim(token, Claims::getSubject);
    }

    public boolean isTokenValid(String token, UserDetails userDetails) {
        String username = extractUsername(token);
        return username.equals(userDetails.getUsername()) && !isTokenExpired(token);
    }

    private SecretKey getSigningKey() {
        return Keys.hmacShaKeyFor(Decoders.BASE64.decode(secret));
    }
}

كل دالة بتخدم غرض محدد:

• generateToken - ينشئ توكن جديدة بالـ claims، الـ subject (اليوزرنيم)، وقت الإنشاء، ووقت الانتهاء
• extractUsername - يستخرج اليوزرنيم من التوكن
• isTokenValid - يتأكد إنه اليوزرنيم صحيح والتوكن ما انتهت مدتها

الـ generateToken عندها overloading: إذا بتعطوها argument وحد بتولد توكن بدون extra claims، وإذا بتعطوها اثنين بتضيف الـ claims الإضافية.

إعداد الـ Secret Key

بالـ application.properties بنضيف:

jwt.secret=your-256-bit-sha-secret-key-here

استخدموا SHA-256 generator لتوليد key قوية. هاي الـ secret لا يجوز يعرفها أحد غير السيرفر. بالـ Production احرصوا ما تحطوها مباشرة بالكود.

إضافة Custom Claims

لو بدنا نضيف الـ User ID للتوكن كـ custom claim:

Map<String, Object> customClaims = new HashMap<>();
customClaims.put("userId", userAccount.getId());

String token = jwtHelper.generateToken(customClaims, userAccount);

بعدين إذا فتحتوا التوكن بـ jwt.io بتشوفوا الـ userId موجود بالـ Payload.

Login Endpoint

بننشئ LoginRequest DTO:

public record LoginRequest(
    @NotBlank(message = "Username is required")
    String username,

    @Size(min = 5, max = 50, message = "Password must be between 5 and 50 characters")
    String password
) {}

وبالـ Auth Controller:

@PostMapping("/login")
public ResponseEntity<GlobalResponse<String>> login(
        @Valid @RequestBody LoginRequest request) {
    String token = authService.login(request);
    return new ResponseEntity<>(new GlobalResponse<>(token), HttpStatus.CREATED);
}

Auth Service - Login

بالـ AuthService بنضيف الـ Login logic:

@Autowired
private AuthenticationManager authenticationManager;

@Autowired
private JwtHelper jwtHelper;

@Autowired
private UserAccountRepository userAccountRepository;

public String login(LoginRequest request) {
    authenticationManager.authenticate(
        new UsernamePasswordAuthenticationToken(
            request.username(),
            request.password()
        )
    );

    UserAccount userAccount = userAccountRepository
        .findOneByUsername(request.username())
        .orElseThrow(() -> CustomResponseException.badCredentials());

    Map<String, Object> customClaims = new HashMap<>();
    customClaims.put("userId", userAccount.getId());

    return jwtHelper.generateToken(customClaims, userAccount);
}

الـ authenticationManager.authenticate() بيتأكد إنه الـ Username والـ Password صحيحين. إذا غلط رح يعمل throw لـ BadCredentialsException تلقائياً.

لازم كمان تضيفوا login/ لقائمة الـ permitAll بالـ Security Config:

.authorizeHttpRequests(auth -> auth
    .requestMatchers("/auth/**").permitAll()
    .anyRequest().authenticated()
)

JWT Filter

الـ Filter هو الحلقة المهمة. كل Request قبل ما يوصل للـ Controller لازم يمر عليه. مهمته:

1. يقرأ الـ Authorization header
2. يستخرج التوكن
3. يتحقق منها
4. يحط اليوزر بالـ Security Context

@Component
public class JwtAuthFilter extends OncePerRequestFilter {

    @Autowired
    private JwtHelper jwtHelper;

    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    protected void doFilterInternal(
            HttpServletRequest request,
            HttpServletResponse response,
            FilterChain filterChain) throws ServletException, IOException {

        String authHeader = request.getHeader("Authorization");

        if (authHeader != null && authHeader.startsWith("Bearer ")) {
            String token = authHeader.substring(7);
            String username = jwtHelper.extractUsername(token);

            if (username != null && SecurityContextHolder.getContext().getAuthentication() == null) {
                UserDetails userDetails = userDetailsService.loadUserByUsername(username);

                if (jwtHelper.isTokenValid(token, userDetails)) {
                    UsernamePasswordAuthenticationToken authToken =
                        new UsernamePasswordAuthenticationToken(
                            userDetails, null, userDetails.getAuthorities()
                        );
                    SecurityContextHolder.getContext().setAuthentication(authToken);
                }
            }
        }

        filterChain.doFilter(request, response);
    }
}

substring(7) بيحذف كلمة Bearer (7 أحرف مع المسافة) لياخذ التوكن بس.

تسجيل الـ Filter بالـ Security Config

بنضيف الـ Filter للـ SecurityConfig:

@Autowired
private JwtAuthFilter jwtAuthFilter;

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    return http
        .csrf(AbstractHttpConfigurer::disable)
        .cors(AbstractHttpConfigurer::disable)
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/auth/**").permitAll()
            .anyRequest().authenticated()
        )
        .addFilterBefore(jwtAuthFilter, UsernamePasswordAuthenticationFilter.class)
        .build();
}

addFilterBefore بيخبر Spring Security تشغل الـ JWT Filter قبل الـ Default Authentication Filter.

كيف تبعثوا التوكن مع الـ Request

بالـ HTTP Client (Bruno أو Postman)، بتضيفوا Header:

Authorization: Bearer eyJhbGciOiJIUzI1NiJ9...

إذا التوكن صحيحة، السيرفر بيرجع الداتا المطلوبة. إذا غلطة أو ما في، بيرجع 403 Forbidden.

بالدرس الجاي رح نضيف Authorization لنتحكم بالصلاحيات حسب الـ Role.