Java 如何做登录鉴权

早上刷手机时，你登录外卖APP，输入手机号和验证码后，就能直接下单、查看订单；下班打卡，刷脸就能通过公司门禁，不用反复输密码。这些日常场景的背后，都藏着一套“身份验证”逻辑，放到互联网开发里，就是登录鉴权——简单说，就是“证明你是你”的过程。而Java作为常用的后端开发语言，做登录鉴权其实没有想象中复杂，咱们用生活化的例子一步步说清楚。

第一步：先把“身份信息”存好——用户数据打底

要做登录鉴权，得先有个“身份档案”，就像小区保安要先登记业主的房号和样貌，才能认出人。在Java里，一般用数据库（比如MySQL）存用户信息，核心存两个东西：一个是唯一标识（比如用户的手机号、自定义的账号名），用来区分不同用户；另一个是加密后的密码，绝对不能存明文——比如你设的密码是“123456”，存到数据库的应该是一串乱码，就像把钥匙锁在带密码的箱子里，哪怕有人拿到箱子也打不开。

举个例子：用户注册时，Java后端会用“加密工具”把“123456”变成一串像“a1b2c3d4”的字符串，存进数据库；等用户下次登录输密码，后端再用同样的工具把输入的密码加密，和数据库里的字符串比对，一致才说明密码对，这就完成了最基础的“身份核对”。

第二步：给用户发个“临时通行证”——生成Token

密码核对对了，总不能让用户每次操作都输一遍密码吧？这就需要一个“临时通行证”，行业里常用的是Token（令牌），就像你去景区买的门票，进门刷一次，逛整个园区都能用，不用反复买票。

Java里生成Token最常用的是JWT（JSON Web Token），它的好处是不用存到服务器数据库里，信息都在Token本身里，就像门票上直接印了你的姓名、有效期，保安扫一下就能确认，不用去后台查。具体怎么用？

• 用户登录成功后，后端把他的ID、登录时间、有效期等信息打包，用密钥加密成Token字符串；
• 把这个Token发给用户，一般存在手机的缓存或浏览器的Cookie里；
• 用户后续每次发请求（比如查订单、改地址），都要在请求的“Header”里带上这个Token，后端拿到Token后，用密钥解密，确认信息没被篡改、没过期，就允许操作，否则就提示“请重新登录”。

举个生活化的例子：你去奶茶店办了储值卡，老板给你一张纸质小票（Token），上面写着“张三，余额50元，有效期到年底”，你买奶茶时递小票，店员扫一下就知道你有没有储值、能不能用，不用再查你是谁的身份证，这和Token的逻辑一模一样。

第三步：把“通行证”管好——防过期、防冒用

Token虽然方便，但也有要注意的地方，不然就会出问题，就像门票不能过期、不能被人捡走用。

• 过期控制：JWT可以设置有效期，比如30分钟，过了时间自动失效，哪怕有人拿到过期的Token也没用；如果用户一直在操作，后端可以自动刷新Token，就像景区门票可以续期，不用重新买。
• 防冒用：Token里的密钥要藏好，不能随便泄露，就像门票的防伪标记不能仿造；另外，也可以把Token和用户的设备信息（比如手机型号）绑定，就像门票只能本人用，别人捡了你的票也刷不开。

除了JWT，Java还有另一种方式：Session。它相当于后端给用户“开了个临时房间”，把用户的信息存在服务器的Session里，然后给用户发个SessionId（类似房间号），用户每次带房间号来，后端就去对应房间查信息。不过Session需要存到服务器，适合小型项目，大型项目用JWT更方便，不用考虑服务器间的Session同步。

最后：Java做登录鉴权的核心逻辑总结

其实就是三个简单步骤：先把用户的身份信息加密存在数据库，核对密码；登录成功后发个临时通行证（Token）；后续每次请求都带通行证，后端验证有效就允许操作。整个过程就像小区保安：先核对业主的登记信息，然后给业主发个门禁卡，业主进小区、进单元门都刷卡，不用每次都查身份证，既安全又方便。

现在很多Java框架都封装好了鉴权工具，比如Spring Security，不用自己从零写加密、生成Token的代码，只要配置一下，就能快速实现登录鉴权，开发起来更高效。