基于SpringBoot的WEB API项目的安全设计

MavenTalker

发布于 2019-07-19 10:16:24

1.1K0

发布于 2019-07-19 10:16:24

文章被收录于专栏：歪脖贰点零

SpringBoot的开箱即用功能，大大降低了上手一个WEB应用的门槛，友好的REST接口支持，在SpringCloud微服务体系中可编程性大大提高，本篇基于一个面向企业调用方用户的WEB API项目，基于SpringBoot来构建，简单看下接口的安全性模块设计。

主要借助于基于AOP技术来进行接口的安全防护，在SpringBoot下直接引入spring-boot-starter-aop即可使用。

1、在Pom中引入AOP配置

<dependency>  
     <groupId>org.springframework.boot</groupId>  
     <artifactId>spring-boot-starter-aop</artifactId>  
</dependency>

2、编写对应处理类即可，通过@Order(n)设置合法的校验顺序。如LogAspect

@Aspect
@Order(1)
@Component
public class LogAspect {

    private Logger logger=Logger.getLogger(LogAspect.class);

    @Pointcut("execution(public * com.wey.say.api.*.* (..))")
    public void apiLogAspect() {

    }

    @Before("apiLogAspect()")
    public void dobefore(JoinPoint joinPoint) {
        RequestAttributes ra = RequestContextHolder.getRequestAttributes();
        ServletRequestAttributes sra = (ServletRequestAttributes) ra;
        HttpServletRequest request = sra.getRequest();
        // 使用log4j的MDC及NDC特性，识别请求方的IP及调用资料，输出到日志中
        MDC.put("uri", request.getRequestURI());
        NDC.push(request.getRemoteAddr());
        // 记录下请求内容
        logger.info("HTTP_METHOD : " + request.getMethod());
        logger.info("CLASS_METHOD : " + joinPoint.getSignature().getDeclaringTypeName() + "."
                + joinPoint.getSignature().getName());
        logger.info("ARGS : " + Arrays.toString(joinPoint.getArgs()));
        NDC.pop();
        NDC.remove();
        MDC.get("uri");
        MDC.remove("uri");
    }

    @AfterReturning(returning = "ret", pointcut = "apiLogAspect()")
    public void doAfterReturning(Object ret) throws Throwable {
        // 处理完请求，返回内容
        logger.info("RESPONSE : " + ret);
    }

下面进入此系统关键的安全设计模块，由于是面向企业级接口调用用户，与面向大众的接口稍微有些不同，分为以下几个方面。