微服務通過Feign調用進行密碼安全認證
在項目中，微服務之間的通信也是通過Feign代理的HTTP客戶端通信，為了保護我們的業務微服務不被其他非法未經允許的服務調用， 我們要進行訪問授權配置!
Feign是客戶端配置，@FeignClient注解有個configuation屬性，可以配置我們自定義的配置類，在此類中注入微服務認證攔截器
/**
* 訪問微服務需要密碼
* @return
*/
@Bean
public FeignBasicAuthRequestInterceptor requestInterceptor(){
System.out.println("------>進入微服務認證攔截器");
return new FeignBasicAuthRequestInterceptor();
}
feign內部有自帶的BasicAuthRequestInterceptor類實現了RequestInterceptor接口，接收username，password參數，并將此參數通過apply方法設置到了請求頭中
public void apply(RequestTemplate template) {
template.header("Authorization", new String[]{this.headerValue});
}
由此我們可知，我們可以自定義類實現RequestInterceptor接口，重寫apply方法，添加我們的認證邏輯，也同樣通過RequestTemplate就token設置到請求頭中!
啟動兩個微服務，打印日志信息，兩個微服務各自的控制臺都打印，證明認證攔截器配置成功，通過Spring容器加載成功
那么，既然feign是客戶端配置，那么客戶端只要知道了所需調用微服務的rest就可以不配置這個攔截器也能訪問，上述代碼并沒有達到保護業務服務資源的作用，"調用我必須需要密碼"這一行為應該是由微服務強制要求才是!那么微服務在什么地方制定這個規則呢?
仔細閱讀BasicAuthRequestInterceptor源碼便知客戶端將密碼設置到了請求頭中，feign是模擬HTTP請求到微服務拿取資源，那么微服務就可以通過配置過濾器來過濾所有經過"我"的請求，微服務在過濾器拿到客戶端請求的header就可以開始我們的認證邏輯了!
比較簡單的認證就是各自的微服務通過application.yml配置訪問所需的賬號密碼，將這個賬號密碼告訴授信用的調用方，調用方設置feign攔截器將賬號密碼注入到header中!也可以進行加密傳輸，過濾器再進行解密
微服務過濾器注意對響應設置編碼，否則輸出中文會亂碼
httpResponse.setCharacterEncoding("UTF-8");
httpResponse.setContentType("application/json;charset=utf-8");
PrintWriter print = httpResponse.getWriter();
可以將過濾器抽取在公共類中，否則每個微服務都要配一個過濾器
微服務之間調用部分Feign接口忽略認證授權
在SpringSecurity框架基礎之上實現微服務之間部分接口忽略認證授權.
思路
創建忽略授權注解
獲取所有被注解的類或者方法
在SpringSecurity框架中忽略授權
1. 創建忽略授權注解
@Target({ElementType.TYPE,ElementType.METHOD})
@Retention(RetentionPolicy.RUNTIME)
@Documented
public @interface AuthIgnore {
}
2. 獲取所有被注解的類或者方法
@Slf4j
@Configuration
public class AuthIgnoreConfig implements InitializingBean {
@Autowired
private ApplicationContext applicationContext;
private static final Pattern PATTERN = Pattern.compile("{(.*?)}");
private static final String ASTERISK = "*";
@Getter
@Setter
private List<String> ignoreUrls = new ArrayList<>();
@Override
public void afterPropertiesSet(){
RequestMappingHandlerMapping mapping = applicationContext.getBean(RequestMappingHandlerMapping.class);
Map<RequestMappingInfo, HandlerMethod> map = mapping.getHandlerMethods();
map.keySet().forEach(mappingInfo -> {
HandlerMethod handlerMethod = map.get(mappingInfo);
AuthIgnore method = AnnotationUtils.findAnnotation(handlerMethod.getMethod(), AuthIgnore.class);
Optional.ofNullable(method)
.ifPresent(authIgnore -> mappingInfo
.getPatternsCondition()
.getPatterns()
.forEach(url -> ignoreUrls.add(ReUtil.replaceAll(url, PATTERN, ASTERISK))));
});
Optional.ofNullable(applicationContext.getBeansWithAnnotation(AuthIgnore.class))
.ifPresent(stringObjectMap -> stringObjectMap.values()
.forEach(object -> Arrays.asList(object.getClass().getInterfaces()[0].getDeclaredMethods()).forEach(method -> {
List<Annotation> annotations = Arrays.asList(method.getAnnotation(RequestMapping.class), method.getAnnotation(PostMapping.class),
method.getAnnotation(GetMapping.class));
annotations.forEach(annotation -> {
if (ObjectUtil.isNotEmpty(annotation)) {
try {
Field field = Proxy.getInvocationHandler(annotation).getClass().getDeclaredField("memberValues");
field.setAccessible(true);
Map valueMap = (Map) field.get(Proxy.getInvocationHandler(annotation));
String[] string = (String[])valueMap.get("value");
ignoreUrls.add(StrUtil.SLASH.concat(ReUtil.replaceAll(string[0], PATTERN, ASTERISK)));
} catch (Exception e) {
log.error(e.getMessage(),e);
}
}
});
})));
}
}
實現InitializingBean接口后,該類初始化的時候會調用afterPropertiesSet方法
代碼中的工具類統一使用的hutool工具類
3. 在SpringSecurity框架中忽略授權
@Override
public void configure(WebSecurity web) throws Exception {
web.ignoring().antMatchers("/**/api/**","/v2/**","/actuator/**","doc.html")
.antMatchers(authIgnoreConfig.getIgnoreUrls().stream().distinct().toArray(String[]::new));
}
authIgnoreConfig變量為第二步的類,使用@Autowired注解注入進來即可
最后
服務啟動后自動加載所有的@AuthIgnore標注的URL給資源服務設置為忽略認證
以上為個人經驗，希望能給大家一個參考，也希望大家多多支持服務器之家。
原文鏈接：https://blog.csdn.net/m0_37268363/article/details/79856424
