7.【Spring Cloud Alibaba】微服务的用户认证与授权

有状态 vs 无状态

有状态

那么Session在何时创建呢？

当然还是在服务器端程序运行的过程中创建的，不同语言实现的应用程序有不同创建Session的方法，而在Java中是通过调用HttpServletRequest的getSession方法（使用true作为参数）创建的。

在创建了Session的同时，服务器会为该Session生成唯一的Session id，而这个Session id在随后的请求中会被用来重新获得已经创建的Session；

在Session被创建之后，就可以调用Session相关的方法往Session中增加内容了，而这些内容只会保存在服务器中，发到客户端的只有Session id；

当客户端再次发送请求的时候，会将这个Session id带上，服务器接受到请求之后就会依据Session id找到相应的Session，从而再次使用之。

无状态

有状态 vs 无状态

微服务认证方案

微服务认证方案01-处处安全
微服务认证方案02-外部无状态，内部有状态
微服务认证方案03-网关认证授权，内部裸奔
微服务认证方案04-内部裸奔改进

微服务认证方案01-处处安全

OAuth2实现单点登录SSO

https://github.com/chengjiansheng/cjs-oauth2-sso-demo.git

微服务认证方案02-外部无状态，内部有状态

微服务认证方案03-网关认证授权，内部裸奔

微服务认证方案04-内部裸奔改进

方案对比与选择

访问控制模型

JWT是什么？

JWT操作工具类分享

小程序登录逻辑

实现登录状态检查

public @interface CheckLogin {

}

import com.itmuch.usercenter.util.JwtOperator;

import io.jsonwebtoken.Claims;

import lombok.RequiredArgsConstructor;

import org.aspectj.lang.ProceedingJoinPoint;

import org.aspectj.lang.annotation.Around;

import org.aspectj.lang.annotation.Aspect;

import org.aspectj.lang.reflect.MethodSignature;

import org.springframework.beans.factory.annotation.Autowired;

import org.springframework.stereotype.Component;

import org.springframework.web.context.request.RequestAttributes;

import org.springframework.web.context.request.RequestContextHolder;

import org.springframework.web.context.request.ServletRequestAttributes;

import javax.servlet.http.HttpServletRequest;

import java.lang.reflect.Method;

import java.util.Objects;

@Aspect

@Component

@RequiredArgsConstructor(onConstructor = @__(@Autowired))

public class AuthAspect {

    private final JwtOperator jwtOperator;

    @Around("@annotation(com.itmuch.usercenter.auth.CheckLogin)")

    public Object checkLogin(ProceedingJoinPoint point) throws Throwable {

        checkToken();

        return point.proceed();

    }

    private void checkToken() {

        try {

            // 1. 从header里面获取token

            HttpServletRequest request = getHttpServletRequest();

            String token = request.getHeader("X-Token");

            // 2. 校验token是否合法&是否过期；如果不合法或已过期直接抛异常；如果合法放行

            Boolean isValid = jwtOperator.validateToken(token);

            if (!isValid) {

                throw new SecurityException("Token不合法！");

            }

            // 3. 如果校验成功，那么就将用户的信息设置到request的attribute里面

            Claims claims = jwtOperator.getClaimsFromToken(token);

            request.setAttribute("id", claims.get("id"));

            request.setAttribute("wxNickname", claims.get("wxNickname"));

            request.setAttribute("role", claims.get("role"));

        } catch (Throwable throwable) {

            throw new SecurityException("Token不合法");

        }

    }

    private HttpServletRequest getHttpServletRequest() {

        RequestAttributes requestAttributes = RequestContextHolder.getRequestAttributes();

        ServletRequestAttributes attributes = (ServletRequestAttributes) requestAttributes;

        return attributes.getRequest();

    }

    @Around("@annotation(com.itmuch.usercenter.auth.CheckAuthorization)")

    public Object checkAuthorization(ProceedingJoinPoint point) throws Throwable {

        try {

            // 1. 验证token是否合法；

            this.checkToken();

            // 2. 验证用户角色是否匹配

            HttpServletRequest request = getHttpServletRequest();

            String role = (String) request.getAttribute("role");

            MethodSignature signature = (MethodSignature) point.getSignature();

            Method method = signature.getMethod();

            CheckAuthorization annotation = method.getAnnotation(CheckAuthorization.class);

            String value = annotation.value();

            if (!Objects.equals(role, value)) {

                throw new SecurityException("用户无权访问！");

            }

        } catch (Throwable throwable) {

            throw new SecurityException("用户无权访问！", throwable);

        }

        return point.proceed();

    }

}

@GetMapping("/{id}")

@CheckLogin

public User findById(@PathVariable Integer id) {

    log.info("我被请求了...");

    return this.userService.findById(id);

}

Feign调用时传递token

使用拦截器

import feign.RequestInterceptor;

import feign.RequestTemplate;

import org.apache.commons.lang3.StringUtils;

import org.springframework.web.context.request.RequestAttributes;

import org.springframework.web.context.request.RequestContextHolder;

import org.springframework.web.context.request.ServletRequestAttributes;

import javax.servlet.http.HttpServletRequest;

public class TokenRelayRequestIntecepor implements RequestInterceptor {

    @Override

    public void apply(RequestTemplate template) {

        // 1. 获取到token

        RequestAttributes requestAttributes = RequestContextHolder.getRequestAttributes();

        ServletRequestAttributes attributes = (ServletRequestAttributes) requestAttributes;

        HttpServletRequest request = attributes.getRequest();

        String token = request.getHeader("X-Token");

        // 2. 将token传递

        if (StringUtils.isNotBlank(token)) {

            template.header("X-Token", token);

        }

    }

}

RestTemplate传递token

RequestInterceptor

import feign.RequestInterceptor;

import feign.RequestTemplate;

import org.apache.commons.lang3.StringUtils;

import org.springframework.web.context.request.RequestAttributes;

import org.springframework.web.context.request.RequestContextHolder;

import org.springframework.web.context.request.ServletRequestAttributes;

import javax.servlet.http.HttpServletRequest;

public class TokenRelayRequestIntecepor implements RequestInterceptor {

    @Override

    public void apply(RequestTemplate template) {

        // 1. 获取到token

        RequestAttributes requestAttributes = RequestContextHolder.getRequestAttributes();

        ServletRequestAttributes attributes = (ServletRequestAttributes) requestAttributes;

        HttpServletRequest request = attributes.getRequest();

        String token = request.getHeader("X-Token");

        // 2. 将token传递

        if (StringUtils.isNotBlank(token)) {

            template.header("X-Token", token);

        }

    }

}

ClientHttpRequestInterceptor

import org.springframework.http.HttpHeaders;

import org.springframework.http.HttpRequest;

import org.springframework.http.client.ClientHttpRequestExecution;

import org.springframework.http.client.ClientHttpRequestInterceptor;

import org.springframework.http.client.ClientHttpResponse;

import org.springframework.web.context.request.RequestAttributes;

import org.springframework.web.context.request.RequestContextHolder;

import org.springframework.web.context.request.ServletRequestAttributes;

import javax.servlet.http.HttpServletRequest;

import java.io.IOException;

public class TestRestTemplateTokenRelayInterceptor implements ClientHttpRequestInterceptor {

    @Override

    public ClientHttpResponse intercept(HttpRequest request, byte[] body, ClientHttpRequestExecution execution) throws IOException {

        RequestAttributes requestAttributes = RequestContextHolder.getRequestAttributes();

        ServletRequestAttributes attributes = (ServletRequestAttributes) requestAttributes;

        HttpServletRequest httpRequest = attributes.getRequest();

        String token = httpRequest.getHeader("X-Token");

        HttpHeaders headers = request.getHeaders();

        headers.add("X-Token", token);

        // 保证请求继续执行

        return execution.execute(request, body);

    }

}

实现用户权限验证

@Retention(RetentionPolicy.RUNTIME)

public @interface CheckAuthorization {

    String value();

}



import com.itmuch.usercenter.util.JwtOperator;

import io.jsonwebtoken.Claims;

import lombok.RequiredArgsConstructor;

import org.aspectj.lang.ProceedingJoinPoint;

import org.aspectj.lang.annotation.Around;

import org.aspectj.lang.annotation.Aspect;

import org.aspectj.lang.reflect.MethodSignature;

import org.springframework.beans.factory.annotation.Autowired;

import org.springframework.stereotype.Component;

import org.springframework.web.context.request.RequestAttributes;

import org.springframework.web.context.request.RequestContextHolder;

import org.springframework.web.context.request.ServletRequestAttributes;

import javax.servlet.http.HttpServletRequest;

import java.lang.reflect.Method;

import java.util.Objects;

@Aspect

@Component

@RequiredArgsConstructor(onConstructor = @__(@Autowired))

public class AuthAspect {

    private final JwtOperator jwtOperator;

    @Around("@annotation(com.itmuch.usercenter.auth.CheckLogin)")

    public Object checkLogin(ProceedingJoinPoint point) throws Throwable {

        checkToken();

        return point.proceed();

    }

    private void checkToken() {

        try {

            // 1. 从header里面获取token

            HttpServletRequest request = getHttpServletRequest();

            String token = request.getHeader("X-Token");

            // 2. 校验token是否合法&是否过期；如果不合法或已过期直接抛异常；如果合法放行

            Boolean isValid = jwtOperator.validateToken(token);

            if (!isValid) {

                throw new SecurityException("Token不合法！");

            }

            // 3. 如果校验成功，那么就将用户的信息设置到request的attribute里面

            Claims claims = jwtOperator.getClaimsFromToken(token);

            request.setAttribute("id", claims.get("id"));

            request.setAttribute("wxNickname", claims.get("wxNickname"));

            request.setAttribute("role", claims.get("role"));

        } catch (Throwable throwable) {

            throw new SecurityException("Token不合法");

        }

    }

    private HttpServletRequest getHttpServletRequest() {

        RequestAttributes requestAttributes = RequestContextHolder.getRequestAttributes();

        ServletRequestAttributes attributes = (ServletRequestAttributes) requestAttributes;

        return attributes.getRequest();

    }

    @Around("@annotation(com.itmuch.usercenter.auth.CheckAuthorization)")

    public Object checkAuthorization(ProceedingJoinPoint point) throws Throwable {

        try {

            // 1. 验证token是否合法；

            this.checkToken();

            // 2. 验证用户角色是否匹配

            HttpServletRequest request = getHttpServletRequest();

            String role = (String) request.getAttribute("role");

            MethodSignature signature = (MethodSignature) point.getSignature();

            Method method = signature.getMethod();

            CheckAuthorization annotation = method.getAnnotation(CheckAuthorization.class);

            String value = annotation.value();

            if (!Objects.equals(role, value)) {

                throw new SecurityException("用户无权访问！");

            }

        } catch (Throwable throwable) {

            throw new SecurityException("用户无权访问！", throwable);

        }

        return point.proceed();

    }

}

@PutMapping("/audit/{id}")

@CheckAuthorization("admin")

public Share auditById(@PathVariable Integer id, @RequestBody ShareAuditDTO auditDTO) {

    return this.shareService.auditById(id, auditDTO);

}

本章总结

7.【Spring Cloud Alibaba】微服务的用户认证与授权的更多相关文章

Spring Cloud Alibaba | 微服务分布式事务之Seata
Spring Cloud Alibaba | 微服务分布式事务之Seata 本篇实战所使用Spring有关版本: SpringBoot:2.1.7.RELEASE Spring Cloud:Green ...
Spring Cloud Alibaba微服务一站式解决方案-开篇v2.2.1.RELEASE
学习路线 **本人博客网站 **IT小神 www.itxiaoshen.com 生态概述架构演进什么是微服务 https://martinfowler.com/microservices/ Mic ...
Spring Cloud Alibaba微服务架构入门最容易理解篇
微服务架构介绍 Spring Cloud Alibaba推荐的微服务生态架构基于分层架构实现如下: 接入层:最外层为LVS+Keepalived,可承受几十万级高并发流量洪峰,然后再通过内层的ngin ...
Spring Cloud Alibaba微服务生态的基础实践
目录一.背景二.初识Spring Cloud Alibaba 三.Nacos的基础实践 3.1 安装Nacos并启动服务 3.2 建立微服务并向Nacos注册服务 3.3 建立微服务消费者进行服务 ...
Spring Cloud构建微服务架构：服务网关（路由配置）【Dalston版】
转载:http://blog.didispace.com/spring-cloud-starter-dalston-6-2/ 原创 2017-08-26 翟永超 Spring Cloud 被围观 ...
【微服务】使用spring cloud搭建微服务框架，整理学习资料
写在前面使用spring cloud搭建微服务框架,是我最近最主要的工作之一,一开始我使用bubbo加zookeeper制作了一个基于dubbo的微服务框架,然后被架构师否了,架构师曰:此物过时.随 ...
干货｜基于 Spring Cloud 的微服务落地
转自微服务架构模式的核心在于如何识别服务的边界,设计出合理的微服务.但如果要将微服务架构运用到生产项目上,并且能够发挥该架构模式的重要作用,则需要微服务框架的支持. 在Java生态圈,目前使用较多的 ...
基于Spring Cloud的微服务落地
微服务架构模式的核心在于如何识别服务的边界,设计出合理的微服务.但如果要将微服务架构运用到生产项目上,并且能够发挥该架构模式的重要作用,则需要微服务框架的支持. 在Java生态圈,目前使用较多的微服务 ...
Spring Cloud与微服务构建：Spring Cloud简介
Spring Cloud简介微服务因该具备的功能微服务可以拆分为"微"和"服务"二字."微"即小的意思,那到底多小才算"微&q ...

随机推荐

UVA540 Team Queue——题解 by hyl天梦
UVA540 Team Queue 题解题目描述:题目原题 https://vjudge.net/problem/UVA-540 Queues and Priority Queues are dat ...
大叔 Frameworks.Entity.Core 3 Predicate
Frameworks.Entity.Core\Commons\Predicate\ 1LinqEntity.cs /// IQueryable扩展方法:条件过滤与排序功能 /// Modify ...
git使用中遇到的问题
1.拉取时报错:Permission denied (publickey) 先检查一下你的乌龟设置是否用的不是乌龟自己的SSH 2.TortoiseGit报错: Couldn’t load this ...
python从excel中读取数据传给其他函数使用
首先安装xlrd库 pip install xlrd 方法1: 表格内容如下: 场景描述,读取该表格A列数据,然后打印出数据代码何解析如下: import xlrd #引入xlrd库 def exc ...
IdentityServer4身份认证授权入门
一.简介 IdentityServer4 是为ASP.NET Core 系列量身打造的一款基于 OpenID Connect 和 OAuth 2.0 认证框架特点: 1.认证服务 2.单点登录登出( ...
SpringCloud与微服务Ⅷ --- Hystrix断路器
复杂的分布式体系结构中的应用程序有数十个依赖关系,每个依赖关系在某些时候将不可避免地失败. 服务雪崩多个微服务之间调用的时候,假设微服务调用服务B和微服务C,微服务B和微服务C又调用其他服务,这就是 ...
Nginx-入门(源码编译安装http://nginx.org/en/download.html)
比较早的时候 web主要经典组合--->LAMP 近几年---->nginx后来居上--->LNMP=LEMP Nginx = Engine x Nginx和Apache 都是 ...
安卓开发实战-记账本APP（三）
本次实现的是有关登录,注册和整体页面的改观,实现下方选项导致页面的切换效果. 利用到的技术有Sqlite数据库的增删改查,与fragment实现.由于暂时没有找到合适的图标,先借用微信的图标暂代一下. ...
ROS之服务
服务(service)是另一种在节点之间传递数据的方法,服务其实就是同步的跨进程函数调用,它能够让一个节点调用运行在另一个节点中的函数. 我们就像之前消息类型一样定义这个函数的输入/输出.服务端(提供 ...
6、RIP
在路由查找时,有类路由查找方式和无类路由查找的区别:有类路由查找:1.首先匹配主网条目.主网信息2.匹配上主网之后,再去查找子网信息3.查找到子网,就会转发,否则就丢弃4.有一种例外,没有找到主网和子 ...

7.【Spring Cloud Alibaba】微服务的用户认证与授权

有状态 vs 无状态

有状态

无状态

有状态 vs 无状态

微服务认证方案

微服务认证方案01-处处安全

微服务认证方案02-外部无状态，内部有状态

微服务认证方案03-网关认证授权，内部裸奔

微服务认证方案04-内部裸奔改进

方案对比与选择

访问控制模型

JWT是什么？

小程序登录逻辑

实现登录状态检查

Feign调用时传递token

使用拦截器

RestTemplate传递token

RequestInterceptor

ClientHttpRequestInterceptor

实现用户权限验证

本章总结

7.【Spring Cloud Alibaba】微服务的用户认证与授权的更多相关文章

随机推荐

热门专题