本文將通過aop的方式實現一個相對更加簡易靈活的api安全認證服務。
我們先看實現，然后介紹和分析aop基本原理和常用術語。
一、authorized實現
1、定義注解
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
|
package com.power.demo.common;import java.lang.annotation.*;/* * 安全認證 * */@target({elementtype.type, elementtype.method})@retention(retentionpolicy.runtime)@documentedpublic @interface authorized { string value() default "";} |
這個注解看上去什么都沒有，僅僅是一個占位符，用于標志是否需要安全認證。
2、表現層使用注解
|
1
2
3
4
5
6
7
8
9
10
11
12
|
@authorized @requestmapping(value = "/getinfobyid", method = requestmethod.post) @apioperation("根據商品id查詢商品信息") @apiimplicitparams({ @apiimplicitparam(paramtype = "header", name = "authtoken", required = true, value = "authtoken", datatype = "string"), }) public getgoodsbygoodsidresponse getgoodsbygoodsid(@requestheader string authtoken, @requestbody getgoodsbygoodsidrequest request) { return _goodsapiservice.getgoodsbygoodsid(request); } |
看上去就是在一個方法上加了authorized注解，其實它也可以作用于類上，也可以類和方法混合使用。
3、請求認證切面
下面的代碼是實現靈活的安全認證的關鍵：
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
|
package com.power.demo.controller.tool;import com.power.demo.common.appconst;import com.power.demo.common.authorized;import com.power.demo.common.bizresult;import com.power.demo.service.contract.authtokenservice;import com.power.demo.util.powerlogger;import com.power.demo.util.serializeutil;import org.aspectj.lang.joinpoint;import org.aspectj.lang.annotation.aspect;import org.aspectj.lang.annotation.before;import org.aspectj.lang.annotation.pointcut;import org.springframework.beans.factory.annotation.autowired;import org.springframework.stereotype.component;import org.springframework.web.context.request.requestcontextholder;import org.springframework.web.context.request.servletrequestattributes;import javax.servlet.http.httpservletrequest;import java.lang.annotation.annotation;/** * 請求認證切面，驗證自定義請求header的authtoken是否合法 **/@aspect@componentpublic class authorizedaspect { @autowired private authtokenservice authtokenservice; @pointcut("@annotation(org.springframework.web.bind.annotation.requestmapping)") public void requestmapping() { } @pointcut("execution(* com.power.demo.controller.*controller.*(..))") public void methodpointcut() { } /** * 某個方法執行前進行請求合法性認證 注入authorized注解 （先） */ @before("requestmapping() && methodpointcut()&&@annotation(authorized)") public void dobefore(joinpoint joinpoint, authorized authorized) throws exception { powerlogger.info("方法認證開始..."); class type = joinpoint.getsignature().getdeclaringtype(); annotation[] annotations = type.getannotationsbytype(authorized.class); if (annotations != null && annotations.length > 0) { powerlogger.info("直接類認證"); return; } //獲取當前http請求 servletrequestattributes attributes = (servletrequestattributes) requestcontextholder.getrequestattributes(); httpservletrequest request = attributes.getrequest(); string token = request.getheader(appconst.auth_token); bizresult<string> bizresult = authtokenservice.powercheck(token); system.out.println(serializeutil.serialize(bizresult)); if (bizresult.getisok() == true) { powerlogger.info("方法認證通過"); } else { throw new exception(bizresult.getmessage()); } } /** * 類下面的所有方法執行前進行請求合法性認證 （后） */ @before("requestmapping() && methodpointcut()") public void dobefore(joinpoint joinpoint) throws exception { powerlogger.info("類認證開始..."); annotation[] annotations = joinpoint.getsignature().getdeclaringtype().getannotationsbytype(authorized.class); if (annotations == null || annotations.length == 0) { powerlogger.info("類不需要認證"); return; } //獲取當前http請求 servletrequestattributes attributes = (servletrequestattributes) requestcontextholder.getrequestattributes(); httpservletrequest request = attributes.getrequest(); string token = request.getheader(appconst.auth_token); bizresult<string> bizresult = authtokenservice.powercheck(token); system.out.println(serializeutil.serialize(bizresult)); if (bizresult.getisok() == true) { powerlogger.info("類認證通過"); } else { throw new exception(bizresult.getmessage()); } }} |
需要注意的是，對類和方法上的authorized處理，定義了重載的處理方法dobefore。authtokenservice和上文介紹的處理邏輯一樣，如果安全認證不通過，則拋出異常。
如果我們在類上或者方法上都加了authorized注解，不會進行重復安全認證，請放心使用。
4、統一異常處理
上文已經提到過，對所有發生異常的api，都返回統一格式的報文至調用方。主要代碼大致如下：
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
|
package com.power.demo.controller.exhandling;import com.power.demo.common.errorinfo;import org.springframework.http.httpstatus;import org.springframework.web.bind.annotation.controlleradvice;import org.springframework.web.bind.annotation.exceptionhandler;import org.springframework.web.bind.annotation.responsebody;import javax.servlet.http.httpservletrequest;import java.util.date;/** * 全局統一異常處理增強 **/@controlleradvicepublic class globalexceptionhandler { /** * api統一異常處理 **/ @exceptionhandler(value = exception.class) @responsebody public errorinfo<exception> jsonapierrorhandler(httpservletrequest request, exception e) { errorinfo<exception> errorinfo = new errorinfo<>(); try { system.out.println("統一異常處理..."); e.printstacktrace(); throwable innerex = e.getcause(); while (innerex != null) { //innerex.printstacktrace(); if (innerex.getcause() == null) { break; } innerex = innerex.getcause(); } if (innerex == null) { errorinfo.setmessage(e.getmessage()); errorinfo.seterror(e.tostring()); } else { errorinfo.setmessage(innerex.getmessage()); errorinfo.seterror(innerex.tostring()); } errorinfo.setdata(e); errorinfo.settimestamp(new date()); errorinfo.setstatus(httpstatus.internal_server_error.value());//500錯誤 errorinfo.seturl(request.getrequesturl().tostring()); errorinfo.setpath(request.getservletpath()); } catch (exception ex) { ex.printstacktrace(); errorinfo.setmessage(ex.getmessage()); errorinfo.seterror(ex.tostring()); } return errorinfo; }} |
認證不通過的api調用結果如下：
異常的整個堆棧可以非常非常方便地幫助我們排查到問題。
我們再結合上文來看安全認證的時間先后，根據理論分析和實踐發現，過濾器filter先于攔截器interceptor先于自定義authorized方法認證先于authorized類認證。
到這里，我們發現通過aop框架aspectj，一個@aspect注解外加幾個方法幾十行業務代碼，就可以輕松實現對rest api的攔截處理。
那么為什么會有@pointcut，既然有@before，是否有@after？
其實上述簡易安全認證功能實現的過程主要利用了spring的aop特性。
下面再簡單介紹下aop常見概念（主要參考spring實戰），加深理解。aop概念較多而且比較乏味，經驗豐富的老鳥到此就可以忽略這一段了。
二、aop
1、概述
aop（aspect oriented programming），即面向切面編程，可以處理很多事情，常見的功能比如日志記錄，性能統計，安全控制，事務處理，異常處理等。
aop可以認為是一種更高級的“復用”技術，它是oop（object oriented programming，面向對象編程）的補充和完善。aop的理念，就是將分散在各個業務邏輯代碼中相同的代碼通過橫向切割的方式抽取到一個獨立的模塊中。將相同邏輯的重復代碼橫向抽取出來，使用動態代理技術將這些重復代碼織入到目標對象方法中，實現和原來一樣的功能。這樣一來，我們在寫業務邏輯時就只關心業務代碼。
oop引入封裝、繼承、多態等概念來建立一種對象層次結構，用于模擬公共行為的一個集合。不過oop允許開發者定義縱向的關系，但并不適合定義橫向的關系，例如日志功能。日志代碼往往橫向地散布在所有對象層次中，而與它對應的對象的核心功能毫無關系對于其他類型的代碼，如安全性、異常處理和透明的持續性也都是如此，這種散布在各處的無關的代碼被稱為橫切（cross cutting），在oop設計中，它導致了大量代碼的重復，而不利于各個模塊的重用。
aop技術恰恰相反，它利用一種稱為"橫切"的技術，剖解開封裝的對象內部，并將那些影響了多個類的公共行為封裝到一個可重用模塊，并將其命名為"aspect"，即切面。
所謂"切面"，簡單說就是那些與業務無關，卻為業務模塊所共同調用的邏輯或責任封裝起來，便于減少系統的重復代碼，降低模塊之間的耦合度，并有利于未來的可操作性和可維護性。
使用"橫切"技術，aop把軟件系統分為兩個部分：核心關注點和橫切關注點。
業務處理的主要流程是核心關注點，與之關系不大的部分是橫切關注點。橫切關注點的一個特點是，它們經常發生在核心關注點的多處，而各處基本相似，比如權限認證、日志、事務。aop的作用在于分離系統中的各種關注點，將核心關注點和橫切關注點分離開來。
2、aop術語
深刻理解aop，要掌握的術語可真不少。
target：目標類，需要被代理的類，如：userservice
advice：通知，所要增強或增加的功能，定義了切面的“什么”和“何時”，模式有before、after、after-returning,、after-throwing和around
join point：連接點，應用執行過程中，能夠插入切面的所有“點”（時機）
pointcut：切點，實際運行中，選擇插入切面的連接點，即定義了哪些點得到了增強。切點定義了切面的“何處”。我們通常使用明確的類和方法名稱，或是利用正則表達式定義所匹配的類和方法名稱來指定這些切點。
aspect：切面，把橫切關注點模塊化為特殊的類，這些類稱為切面，切面是通知和切點的結合。通知和切點共同定義了切面的全部內容：它是什么，在何時和何處完成其功能
introduction：引入，允許我們向現有的類添加新方法或屬性
weaving：織入，把切面應用到目標對象并創建新的代理對象的過程，切面在指定的連接點被織入到目標對象中。在目標對象的生命周期里有多個點可以進行織入：編譯期、類加載期、運行期
下面參考自網上圖片，可以比較直觀地理解上述這幾個aop術語和流轉過程。
3、aop實現
（1）動態代理
使用動態代理可以為一個或多個接口在運行期動態生成實現對象，生成的對象中實現接口的方法時可以添加增強代碼，從而實現aop：
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
|
import java.lang.reflect.invocationhandler;import java.lang.reflect.method;import java.lang.reflect.proxy;/** * 動態代理類 */public class dynamicproxy implements invocationhandler { /** * 需要代理的目標類 */ private object target; /** * 寫法固定，aop專用:綁定委托對象并返回一個代理類 * * @param target * @return */ public object bind(object target) { this.target = target; return proxy.newproxyinstance(target.getclass().getclassloader(), target.getclass().getinterfaces(), this); } /** * 調用 invocationhandler接口定義方法 * * @param proxy 指被代理的對象。 * @param method 要調用的方法 * @param args 方法調用時所需要的參數 */ @override public object invoke(object proxy, method method, object[] args) throws throwable { object result = null; // 切面之前執行 system.out.println("[動態代理]切面之前執行"); // 執行業務 result = method.invoke(target, args); // 切面之后執行 system.out.println("[動態代理]切面之后執行"); return result; }} |
缺點是只能針對接口進行代理，同時由于動態代理是通過反射實現的，有時可能要考慮反射調用的開銷，否則很容易引發性能問題。
（2）字節碼生成
動態字節碼生成技術是指在運行時動態生成指定類的一個子類對象（注意是針對類），并覆蓋其中特定方法，覆蓋方法時可以添加增強代碼，從而實現aop。
最常用的工具是cglib：
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
|
import org.springframework.cglib.proxy.enhancer;import org.springframework.cglib.proxy.methodinterceptor;import org.springframework.cglib.proxy.methodproxy;import java.lang.reflect.method;/** * 使用cglib動態代理 * <p> * jdk中的動態代理使用時，必須有業務接口，而cglib是針對類的 */public class cglibproxy implements methodinterceptor { private object target; /** * 創建代理對象 * * @param target * @return */ public object getinstance(object target) { this.target = target; enhancer enhancer = new enhancer(); enhancer.setsuperclass(this.target.getclass()); // 回調方法 enhancer.setcallback(this); // 創建代理對象 return enhancer.create(); } @override public object intercept(object proxy, method method, object[] args, methodproxy methodproxy) throws throwable { object result = null; system.out.println("[cglib]切面之前執行"); result = methodproxy.invokesuper(proxy, args); system.out.println("[cglib]切面之后執行"); return result; }} |
（3）定制的類加載器
當需要對類的所有對象都添加增強，動態代理和字節碼生成本質上都需要動態構造代理對象，即最終被增強的對象是由aop框架生成，不是開發者new出來的。
解決的辦法就是實現自定義的類加載器，在一個類被加載時對其進行增強。
jboss就是采用這種方式實現aop功能。
這種方式目前只是道聽途說，本人沒有在實際項目中實踐過。
（4）代碼生成
利用工具在已有代碼基礎上生成新的代碼，其中可以添加任何橫切代碼來實現aop。
（5）語言擴展
可以對構造方法和屬性的賦值操作進行增強，aspectj是采用這種方式實現aop的一個常見的java語言擴展。
比較：根據日志，上述流程的執行順序依次為：過濾器、攔截器、aop方法認證、aop類認證
附：記錄api日志
最后通過記錄api日志，記錄日志時加入api耗時統計（其實我們在開發.net應用的過程中通過aop這種記錄日志的方式也已經是標配），加深上述aop的幾個核心概念的理解：
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
|
package com.power.demo.controller.tool;import com.power.demo.apientity.baseapirequest;import com.power.demo.apientity.baseapiresponse;import com.power.demo.util.datetimeutil;import com.power.demo.util.serializeutil;import org.aspectj.lang.proceedingjoinpoint;import org.aspectj.lang.signature;import org.aspectj.lang.annotation.around;import org.aspectj.lang.annotation.aspect;import org.aspectj.lang.annotation.pointcut;import org.slf4j.logger;import org.slf4j.loggerfactory;import org.springframework.stereotype.component;import org.springframework.util.stopwatch;/** * 服務日志切面，主要記錄接口日志及耗時 **/@aspect@componentpublic class svclogaspect { @pointcut("@annotation(org.springframework.web.bind.annotation.requestmapping)") public void requestmapping() { } @pointcut("execution(* com.power.demo.controller.*controller.*(..))") public void methodpointcut() { } @around("requestmapping() && methodpointcut()") public object around(proceedingjoinpoint pjd) throws throwable { system.out.println("spring aop方式記錄服務日志"); object response = null;//定義返回信息 baseapirequest baseapirequest = null;//請求基類 int index = 0; signature cursignature = pjd.getsignature(); string classname = cursignature.getclass().getname();//類名 string methodname = cursignature.getname(); //方法名 logger logger = loggerfactory.getlogger(classname);//日志 stopwatch watch = datetimeutil.startnew();//用于統計調用耗時 // 獲取方法參數 object[] reqparamarr = pjd.getargs(); stringbuffer sb = new stringbuffer(); //獲取請求參數集合并進行遍歷拼接 for (object reqparam : reqparamarr) { if (reqparam == null) { index++; continue; } try { sb.append(serializeutil.serialize(reqparam)); //獲取繼承自baseapirequest的請求實體 if (baseapirequest == null && reqparam instanceof baseapirequest) { index++; baseapirequest = (baseapirequest) reqparam; } } catch (exception e) { sb.append(reqparam.tostring()); } sb.append(","); } string strparam = sb.tostring(); if (strparam.length() > 0) { strparam = strparam.substring(0, strparam.length() - 1); } //記錄請求 logger.info(string.format("【%s】類的【%s】方法，請求參數：%s", classname, methodname, strparam)); response = pjd.proceed(); // 執行服務方法 watch.stop(); //記錄應答 logger.info(string.format("【%s】類的【%s】方法，應答參數：%s", classname, methodname, serializeutil.serialize(response))); // 獲取執行完的時間 logger.info(string.format("接口【%s】總耗時(毫秒)：%s", methodname, watch.gettotaltimemillis())); //標準請求-應答模型 if (baseapirequest == null) { return response; } if ((response != null && response instanceof baseapiresponse) == false) { return response; } system.out.println("spring aop方式記錄標準請求-應答模型服務日志"); object request = reqparamarr[index]; baseapiresponse bizresp = (baseapiresponse) response; //記錄日志 string msg = string.format("請求：%s======應答：%s======總耗時(毫秒)：%s", serializeutil.serialize(request), serializeutil.serialize(response), watch.gettotaltimemillis()); if (bizresp.getisok() == true) { logger.info(msg); } else { logger.error(msg);//記錄錯誤日志 } return response; }} |
標準的請求-應答模型，我們都會定義請求基類和應答基類，本文示例給到的是baseapirequest和baseapiresponse，搜集日志時，可以對錯誤日志加以區分特殊處理。
注意上述代碼中的@around環繞通知，參數類型是proceedingjoinpoint，而前面第一個示例的@before前置通知，參數類型是joinpoint。
下面是aspectj通知和增強的5種模式：
@before前置通知，在目標方法執行前實施增強,請求參數joinpoint,用來連接當前連接點的連接細節，一般包括方法名和參數值。在方法執行前進行執行方法體，不能改變方法參數，也不能改變方法執行結果。
@after 后置通知，請求參數joinpoint,在目標方法執行之后，無論是否發生異常，都進行執行的通知。在后置通知中，不能訪問目標方法的執行結果(因為有可能發生異常)，不能改變方法執行結果。
@afterreturning 返回通知，在目標方法執行后實施增強，請求參數joinpoint，其能訪問方法執行結果(因為正常執行)和方法的連接細節，但是不能改變方法執行結果。（注意和后置通知的區別）
@afterthrowing 異常通知，在方法拋出異常后實施增強，請求參數joinpoint,throwing屬性代表方法體執行時候拋出的異常，其值一定與方法中exception的值需要一致。
@around 環繞通知，請求參數proceedingjoinpoint，環繞通知類似于動態代理的全過程，proceedingjoinpoint類型的參數可以決定是否執行目標方法，而且環繞通知必須有返回值，返回值即為目標方法的返回值。
以上就是本文的全部內容，希望對大家的學習有所幫助，也希望大家多多支持服務器之家。
原文鏈接：http://blog.51cto.com/13932491/2312412
