小明：最近我接了一个项目，是开发一个科研信息管理系统，用户主要是学生。你说，我们怎么处理学生的登录功能呢？

小李：嗯，学生登录是个基础但非常重要的功能。首先得考虑安全性，不能让别人随便登录进来。你用什么技术栈呢？

小明：我现在用的是Spring Boot，后端用Java，前端可能用Vue或者React。数据库的话，MySQL应该没问题。

小李：那很好，Spring Boot非常适合做这种系统。你可以用Spring Security来处理认证和授权，不过如果你想要更轻量级的方案，也可以考虑JWT（JSON Web Token）。

小明：JWT？我不太熟悉，能说说吗？

小李：JWT是一种基于Token的认证方式，服务器生成一个Token，客户端保存这个Token，每次请求都带上它，服务器验证Token的有效性。这种方式不需要维护会话，适合分布式系统。

小明：听起来不错，那具体怎么实现呢？

小李：我们可以分几个步骤来做。首先是用户登录时的验证，然后生成Token，再在后续请求中校验Token。

小明：那我先写个登录接口吧。比如用户输入用户名和密码，后端检查数据库是否有这个学生。

小李：对，可以创建一个Student实体类，包含id、username、password等字段。然后写一个StudentRepository接口，用JPA操作数据库。

小明：那代码应该怎么写呢？

小李：我可以给你一个简单的例子。首先定义Student实体：

@Entity
public class Student {
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;
    private String username;
    private String password;

    // getters and setters
}
    

小明：这样就完成了实体的定义。接下来是StudentRepository接口：

public interface StudentRepository extends JpaRepository {
    Student findByUsername(String username);
}
    

小李：没错。然后是服务层，用来处理登录逻辑：

@Service
public class StudentService {

    @Autowired
    private StudentRepository studentRepository;

    public Student login(String username, String password) {
        Student student = studentRepository.findByUsername(username);
        if (student == null || !student.getPassword().equals(password)) {
            throw new RuntimeException("用户名或密码错误");
        }
        return student;
    }
}
    

小明：这样就能验证用户了。那如何生成JWT呢？

小李：你需要引入一个JWT库，比如jjwt。然后写一个工具类生成Token。例如：

public class JwtUtil {
    private static final String SECRET_KEY = "your-secret-key";
    private static final long EXPIRATION_TIME = 86400000; // 24小时

    public static String generateToken(String username) {
        return Jwts.builder()
                .setSubject(username)
                .setExpiration(new Date(System.currentTimeMillis() + EXPIRATION_TIME))
                .signWith(SignatureAlgorithm.HS512, SECRET_KEY)
                .compact();
    }

    public static String getUsernameFromToken(String token) {
        return Jwts.parser()
                .setSigningKey(SECRET_KEY)
                .parseClaimsJws(token)
                .getBody()
                .getSubject();
    }
}
    

小明：明白了，这样就可以生成和解析Token了。那控制器怎么写呢？

小李：控制器接收登录请求，调用服务层验证用户，然后生成Token返回给客户端：

@RestController
@RequestMapping("/api/student")
public class StudentController {

    @Autowired
    private StudentService studentService;

    @PostMapping("/login")
    public ResponseEntity login(@RequestBody LoginRequest request) {
        try {
            Student student = studentService.login(request.getUsername(), request.getPassword());
            String token = JwtUtil.generateToken(student.getUsername());
            return ResponseEntity.ok(token);
        } catch (Exception e) {
            return ResponseEntity.status(HttpStatus.UNAUTHORIZED).body("登录失败");
        }
    }
}
    

小明：好的，那前端拿到Token之后，该怎么使用呢？

小李：前端在每次请求时，把Token放在HTTP请求头的Authorization字段里，比如："Bearer " + token。后端需要在过滤器中校验Token是否有效。

小明：那怎么在Spring Boot中实现这个呢？

小李：可以写一个拦截器或者使用Spring Security的Filter。这里举个简单例子，用一个拦截器：

@Component
public class JwtInterceptor implements HandlerInterceptor {

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        String token = request.getHeader("Authorization");
        if (token != null && token.startsWith("Bearer ")) {
            token = token.substring(7);
            try {
                String username = JwtUtil.getUsernameFromToken(token);
                // 这里可以将username存入SecurityContext，用于后续权限控制
                return true;
            } catch (Exception e) {
                response.sendError(HttpServletResponse.SC_UNAUTHORIZED, "无效的Token");
                return false;
            }
        }
        response.sendError(HttpServletResponse.SC_UNAUTHORIZED, "缺少Token");
        return false;
    }
}
    

小明：这样就能在每个请求前验证Token了。那是不是还需要配置一下Spring Boot的拦截器？

小李：是的，可以在配置类中注册拦截器：

@Configuration
@EnableWebMvc
public class WebConfig implements WebMvcConfigurer {

    @Autowired
    private JwtInterceptor jwtInterceptor;

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(jwtInterceptor).addPathPatterns("/api/**");
    }
}
    

小明：看来整个流程已经比较完整了。那学生登录之后，还能访问哪些资源呢？

小李：可以根据不同的角色来限制访问权限。比如学生只能查看自己的科研信息，而管理员可以管理所有数据。你可以结合Spring Security的@PreAuthorize注解来实现。

小明：那如果学生忘记密码怎么办？

小李：可以添加找回密码的功能，比如发送邮件或者短信验证码。这部分可以单独开发一个模块，比如PasswordResetService。

小明：我觉得这个系统已经初步成型了。接下来是不是还要考虑数据库的优化？

小李：是的，比如为username字段加索引，提高查询效率。还可以考虑使用Redis缓存一些常用数据，减少数据库压力。

小明：好的，谢谢你的讲解，我对学生登录功能有了更深入的理解。

小李：不客气，如果你还有其他问题，随时问我。