文档章节

Spring Cloud Alibaba 实战(十一) - Spring Cloud认证授权

J
 JavaEdge
发布于 2019/12/15 21:39
字数 1591
阅读 58
收藏 0

欢迎关注全是干货的技术公众号:JavaEdge

> 本文主要内容: > - 如何实现用户认证与授权? > - 实现的三种方案,全部是通过画图的方式讲解.以及三种方案的对比 > - 最后根据方案改造Gateway和扩展Feign

0 相关源码

1 有状态 vs 无状态

1.1 有状态

也可使用粘性会话,即:对相同IP的请求,NGINX总 会转发到相同的Tomcat实例,这样就就无需图中的Session Store了。不过这种方式有很多缺点:比如用户断网重连,刷新页面,由于IP变了,NGINX会转发到其他Tomcat实例,而其他实例没有Session,于是就认为用户未登录。这让用户莫名其妙。 > 粘性会话不是本章重点,如果感兴趣可以百度一下(用得越来越少了)

1.2 无状态

这里讲的是解密Token直接拿到用户信息;事实上要看项目的具体实现;有时候Token里不一定带有用户信息;而是利用Token某个地方查询,才能获得用户信息。

1.3 对比小结

2 微服务认证方案

2.1 “处处安全”

推荐阅读

OAuth2实现单点登录SSO

OAuth 2.0系列文章

代表实现

示例代码

优劣分析

安全性好 但是实现成本高,而且多次token交换和认证,所以有性能开销

2.2 外部无状态,内部有状态

  • 架构过于复杂,微服务和传统架构混合双搭

2.3 网关认证授权,内部裸奔

登录成功后,网关颁发token,之后用户的每个请求都会携带该token,网关对其解密是否合法,过期等,token中会携带用户信息,所以网关还可解析token即可知道用户是谁,比如解析出了id和name,就会将其加入请求的header中进行转发,每个服务就知道是啥子用户啦!

优劣

优点是实现简单,性能佳,但是一旦网关的登录认证被攻破,就凉了

2.4 “内部裸奔”改进方案

请求经过网关到认证授权中心去登录,成功则颁发token,之后用户请求都会携带该token,但是网关不对token做操作 这样降低了网关的设计复杂度,网关不再关注用户是谁了(不再解密解析token),只负责转发 让系统也避免了裸奔的尴尬 但是要想解密token,还是需要密钥,现在每个微服务都要去做解密工作,意味着每个服务都知道密钥了.被泄露的风险随之增大,需要防止这种情况,可以定期更新密钥,想办法不让开发直接看到密钥本身(但是一般吧,除非有内部脑残人士才会泄露密钥,一般还是很安全的)

优劣分析

实现并不复杂,降低了网关的复杂度,但是密钥如果泄露了,就完了,这个可以借助后面的方法避免,先留坑

2.5 方案对比与选择

3 访问控制模型(授权)

  • Access Control List (ACL)
  • Role-based access control (RBAC 最流行)
  • Attribute- based access control (ABAC)
  • Rule-based access control
  • Time-based access control

我们使用的token其实就是JWT,what's that?

4 JWT

4.1 定义

JWT全称Json web token ,是一个开放标准(RFC 7519) ,用来在各方之间安全地传输信息。JWT可被验证和信任,因为它是数字签名的。

4.2 组成

4.3 公式

token算法

  • Token = Base64(Header).Base64(Payload).Base64(Signature) 示例: aaaa.bbbbb.ccccc

签名算法

◆ Signature = Header指定的签名算法 (Base64(header).Base64(payload), 秘钥) ● 秘钥: HS256("aaaa.bbbbb",秘钥)

  • 推荐阅读 JWT操作工具类分享

  • 为用户中心引入JWT

  • 引入工具类后生成的JWT,并新建JWT操作类,并简单测试生成JWT

  • 写配置

  • 同样的方式为内容中心添加JWT配置,不再赘述,注意secret都保持一致

5 实现认证授权

实现小程序登录

  • 小程序登录流程,我们java代码需要做的就是实现图中的4,5,6步骤
  • 用户点击登录按钮后,弹出如下,点击允许,即表示同意获取个人信息
  • login
  • 在用户中心新建 dto类
  • 小程序API工具包 ◆WxJava : https://github.com/Wechat-Group/WxJava
  • 在用户中心添加依赖 服务实现

6 AOP实现登录状态检查

实现方式

  • Servlet过滤器
  • filter拦截器
  • Spring AOP

我们当然使用优雅地AOP切面编程这种可插拔的方式

6.1 用户中心

  • 引入依赖
  • 定义注解 具体代码看github

6.2 内容中心

与用户中心类似,不再赘述 使用feign时并没有传递token,所以当做未认证处理

6.2.1 Feign实现Token传递

实现方式 @RequestHeader

  • 修改控制器,之后将编译报错的代码都注释掉 需要修改控制器,这不好,弃用

实现方式 RequestInterceptor

实现方式 RestTemplate实现Token传递

exchange() ClientHttpRequestInterceptor

7 AOP实现用户权限验证 - 授权

  • 需求:用户role须是管理员才有权访问

7.1 实现方案 - 土方法

  • 通过注入的属性值判断,对于API多的就不合时宜了! > 当然你用过滤器,拦截器实现也是可以的.

7.2 优雅地用AOP实现

  • 定义注解
  • 控制器方法上添加注解
  • 修改网关配置

总结

◆ 登录认证的四种方案 ◆ AOP实现认证授权 ◆ N种访问控制模型 ◆ Feign传递Token ◆ JWT ◆ RestTemplate传递Token

参考

© 著作权归作者所有

J
粉丝 0
博文 71
码字总数 188958
作品 0
南京
私信 提问
加载中

评论(0)

厉害了,Spring Cloud for Alibaba 来了!

最近,Spring Cloud 发布了 Spring Cloud Alibaba 首个预览版本:Spring Cloud for Alibaba 0.2.0. 大家都好奇,这和阿里巴巴有什么关系?莫非是给阿里巴巴定制了一个 Spring Cloud ? 其实也...

Java技术栈
2018/11/22
1.1K
2
Hystrix 停止开发。。。Spring Cloud 何去何从?

栈长得到消息,Hystrix 停止开发了。。。 大家如果有对 Hystrix 不清楚的,请看下这篇文章:分布式服务防雪崩熔断器,Hystrix理论+实战。 来看下 Hystrix 停止开发官宣: https://github.com...

Java技术栈
2018/11/30
2K
0
Spring Cloud Alibaba,中国 Javaer 的福音,为微服务续上 18 年

Java 界最近发生了一件大事,Spring Cloud 官方宣布阿里开源 Spring Cloud Alibaba,并推出首个预览版。 据介绍,Spring Cloud Alibaba 由阿里开源组件和阿里云产品组件两部分组成,其致力于...

h4cd
2018/11/22
1.3W
41
alibaba限流组件Sentinel实战

序 本文主要研究一下如何使用alibaba开源的限流组件Sentinel maven spring-cloud-starter-sentinel在maven仓库没有的话自己本地install一下 配置 这里指定应用的端口为8080,与sentinel serv...

go4it
2018/08/12
2K
0
微服务网关Spring Cloud Gateway的应用实战

今天和大家聊一下微服务网关 Spring Cloud Gateway。Spring Cloud Gateway 是 Spring Cloud 的一个全新项目,该项目是基于Spring 5.0、Spring Boot 2.0 和Project Reactor 等组件技术,Sprin...

aoho
2019/02/12
0
0

没有更多内容

加载失败,请刷新页面

加载更多

某数算法分析

今天我们来分析一下某数的js 很多网站都用的,听说是有好几个版本,我也不知道,随便找一个,因为我们之前分析过,那是直接怼混淆,大家也许有点懵,这次我们来细细分析,此次干货多,大家慢...

开飞色
24分钟前
63
0
power Designer 导入 excel 表结构数据 创建表

一、编写测试excel,如下: 二、打开PowerDesigner,创建物理模型(Physical Data Model) 三、在PowerDesigner菜单栏中,依次点击“Tools ->Excute Commands->Edit/Run Script.. 四、修改如下...

让爱搁浅
25分钟前
56
0
前端学习规划之路

前端学习规划路线。

宋_
28分钟前
73
1
PCB设计规范其实就是“怎么摆”和“怎么连”!

PCB设计纷繁复杂,各种意料之外的因素频频来影响整体方案的达成,如何能驯服性格各异的零散部件?怎样才能画出一份整齐、高效、可靠的PCB图?今天就让我们来盘点一下。 PCB设计看似复杂,既要...

demyar
29分钟前
57
0
我可以在一个表中拥有多个主键吗?

我可以在一个表中拥有多个主键吗? #1楼 以比我能做的更好的方式给出了良好的技术答案。 我只能添加到这个主题: 如果你想要一些不允许/不可接受的东西,那么就有理由退一步。 理解为什么它不...

javail
43分钟前
76
0

没有更多内容

加载失败,请刷新页面

加载更多

返回顶部
顶部