7.【Spring Cloud Alibaba】微服务的用户认证与授权

有状态 vs 无状态

有状态

那么Session在何时创建呢？

当然还是在服务器端程序运行的过程中创建的，不同语言实现的应用程序有不同创建Session的方法，而在Java中是通过调用HttpServletRequest的getSession方法（使用true作为参数）创建的。

在创建了Session的同时，服务器会为该Session生成唯一的Session id，而这个Session id在随后的请求中会被用来重新获得已经创建的Session；

在Session被创建之后，就可以调用Session相关的方法往Session中增加内容了，而这些内容只会保存在服务器中，发到客户端的只有Session id；

当客户端再次发送请求的时候，会将这个Session id带上，服务器接受到请求之后就会依据Session id找到相应的Session，从而再次使用之。

无状态

有状态 vs 无状态

微服务认证方案

微服务认证方案01-处处安全
微服务认证方案02-外部无状态，内部有状态
微服务认证方案03-网关认证授权，内部裸奔
微服务认证方案04-内部裸奔改进

微服务认证方案01-处处安全

OAuth2实现单点登录SSO

https://github.com/chengjiansheng/cjs-oauth2-sso-demo.git

微服务认证方案02-外部无状态，内部有状态

微服务认证方案03-网关认证授权，内部裸奔

微服务认证方案04-内部裸奔改进

方案对比与选择

访问控制模型

JWT是什么？

JWT操作工具类分享

小程序登录逻辑

实现登录状态检查

public @interface CheckLogin {

}

import com.itmuch.usercenter.util.JwtOperator;

import io.jsonwebtoken.Claims;

import lombok.RequiredArgsConstructor;

import org.aspectj.lang.ProceedingJoinPoint;

import org.aspectj.lang.annotation.Around;

import org.aspectj.lang.annotation.Aspect;

import org.aspectj.lang.reflect.MethodSignature;

import org.springframework.beans.factory.annotation.Autowired;

import org.springframework.stereotype.Component;

import org.springframework.web.context.request.RequestAttributes;

import org.springframework.web.context.request.RequestContextHolder;

import org.springframework.web.context.request.ServletRequestAttributes;

import javax.servlet.http.HttpServletRequest;

import java.lang.reflect.Method;

import java.util.Objects;

@Aspect

@Component

@RequiredArgsConstructor(onConstructor = @__(@Autowired))

public class AuthAspect {

    private final JwtOperator jwtOperator;

    @Around("@annotation(com.itmuch.usercenter.auth.CheckLogin)")

    public Object checkLogin(ProceedingJoinPoint point) throws Throwable {

        checkToken();

        return point.proceed();

    }

    private void checkToken() {

        try {

            // 1. 从header里面获取token

            HttpServletRequest request = getHttpServletRequest();

            String token = request.getHeader("X-Token");

            // 2. 校验token是否合法&是否过期；如果不合法或已过期直接抛异常；如果合法放行

            Boolean isValid = jwtOperator.validateToken(token);

            if (!isValid) {

                throw new SecurityException("Token不合法！");

            }

            // 3. 如果校验成功，那么就将用户的信息设置到request的attribute里面

            Claims claims = jwtOperator.getClaimsFromToken(token);

            request.setAttribute("id", claims.get("id"));

            request.setAttribute("wxNickname", claims.get("wxNickname"));

            request.setAttribute("role", claims.get("role"));

        } catch (Throwable throwable) {

            throw new SecurityException("Token不合法");

        }

    }

    private HttpServletRequest getHttpServletRequest() {

        RequestAttributes requestAttributes = RequestContextHolder.getRequestAttributes();

        ServletRequestAttributes attributes = (ServletRequestAttributes) requestAttributes;

        return attributes.getRequest();

    }

    @Around("@annotation(com.itmuch.usercenter.auth.CheckAuthorization)")

    public Object checkAuthorization(ProceedingJoinPoint point) throws Throwable {

        try {

            // 1. 验证token是否合法；

            this.checkToken();

            // 2. 验证用户角色是否匹配

            HttpServletRequest request = getHttpServletRequest();

            String role = (String) request.getAttribute("role");

            MethodSignature signature = (MethodSignature) point.getSignature();

            Method method = signature.getMethod();

            CheckAuthorization annotation = method.getAnnotation(CheckAuthorization.class);

            String value = annotation.value();

            if (!Objects.equals(role, value)) {

                throw new SecurityException("用户无权访问！");

            }

        } catch (Throwable throwable) {

            throw new SecurityException("用户无权访问！", throwable);

        }

        return point.proceed();

    }

}

@GetMapping("/{id}")

@CheckLogin

public User findById(@PathVariable Integer id) {

    log.info("我被请求了...");

    return this.userService.findById(id);

}

Feign调用时传递token

使用拦截器

import feign.RequestInterceptor;

import feign.RequestTemplate;

import org.apache.commons.lang3.StringUtils;

import org.springframework.web.context.request.RequestAttributes;

import org.springframework.web.context.request.RequestContextHolder;

import org.springframework.web.context.request.ServletRequestAttributes;

import javax.servlet.http.HttpServletRequest;

public class TokenRelayRequestIntecepor implements RequestInterceptor {

    @Override

    public void apply(RequestTemplate template) {

        // 1. 获取到token

        RequestAttributes requestAttributes = RequestContextHolder.getRequestAttributes();

        ServletRequestAttributes attributes = (ServletRequestAttributes) requestAttributes;

        HttpServletRequest request = attributes.getRequest();

        String token = request.getHeader("X-Token");

        // 2. 将token传递

        if (StringUtils.isNotBlank(token)) {

            template.header("X-Token", token);

        }

    }

}

RestTemplate传递token

RequestInterceptor

import feign.RequestInterceptor;

import feign.RequestTemplate;

import org.apache.commons.lang3.StringUtils;

import org.springframework.web.context.request.RequestAttributes;

import org.springframework.web.context.request.RequestContextHolder;

import org.springframework.web.context.request.ServletRequestAttributes;

import javax.servlet.http.HttpServletRequest;

public class TokenRelayRequestIntecepor implements RequestInterceptor {

    @Override

    public void apply(RequestTemplate template) {

        // 1. 获取到token

        RequestAttributes requestAttributes = RequestContextHolder.getRequestAttributes();

        ServletRequestAttributes attributes = (ServletRequestAttributes) requestAttributes;

        HttpServletRequest request = attributes.getRequest();

        String token = request.getHeader("X-Token");

        // 2. 将token传递

        if (StringUtils.isNotBlank(token)) {

            template.header("X-Token", token);

        }

    }

}

ClientHttpRequestInterceptor

import org.springframework.http.HttpHeaders;

import org.springframework.http.HttpRequest;

import org.springframework.http.client.ClientHttpRequestExecution;

import org.springframework.http.client.ClientHttpRequestInterceptor;

import org.springframework.http.client.ClientHttpResponse;

import org.springframework.web.context.request.RequestAttributes;

import org.springframework.web.context.request.RequestContextHolder;

import org.springframework.web.context.request.ServletRequestAttributes;

import javax.servlet.http.HttpServletRequest;

import java.io.IOException;

public class TestRestTemplateTokenRelayInterceptor implements ClientHttpRequestInterceptor {

    @Override

    public ClientHttpResponse intercept(HttpRequest request, byte[] body, ClientHttpRequestExecution execution) throws IOException {

        RequestAttributes requestAttributes = RequestContextHolder.getRequestAttributes();

        ServletRequestAttributes attributes = (ServletRequestAttributes) requestAttributes;

        HttpServletRequest httpRequest = attributes.getRequest();

        String token = httpRequest.getHeader("X-Token");

        HttpHeaders headers = request.getHeaders();

        headers.add("X-Token", token);

        // 保证请求继续执行

        return execution.execute(request, body);

    }

}

实现用户权限验证

@Retention(RetentionPolicy.RUNTIME)

public @interface CheckAuthorization {

    String value();

}



import com.itmuch.usercenter.util.JwtOperator;

import io.jsonwebtoken.Claims;

import lombok.RequiredArgsConstructor;

import org.aspectj.lang.ProceedingJoinPoint;

import org.aspectj.lang.annotation.Around;

import org.aspectj.lang.annotation.Aspect;

import org.aspectj.lang.reflect.MethodSignature;

import org.springframework.beans.factory.annotation.Autowired;

import org.springframework.stereotype.Component;

import org.springframework.web.context.request.RequestAttributes;

import org.springframework.web.context.request.RequestContextHolder;

import org.springframework.web.context.request.ServletRequestAttributes;

import javax.servlet.http.HttpServletRequest;

import java.lang.reflect.Method;

import java.util.Objects;

@Aspect

@Component

@RequiredArgsConstructor(onConstructor = @__(@Autowired))

public class AuthAspect {

    private final JwtOperator jwtOperator;

    @Around("@annotation(com.itmuch.usercenter.auth.CheckLogin)")

    public Object checkLogin(ProceedingJoinPoint point) throws Throwable {

        checkToken();

        return point.proceed();

    }

    private void checkToken() {

        try {

            // 1. 从header里面获取token

            HttpServletRequest request = getHttpServletRequest();

            String token = request.getHeader("X-Token");

            // 2. 校验token是否合法&是否过期；如果不合法或已过期直接抛异常；如果合法放行

            Boolean isValid = jwtOperator.validateToken(token);

            if (!isValid) {

                throw new SecurityException("Token不合法！");

            }

            // 3. 如果校验成功，那么就将用户的信息设置到request的attribute里面

            Claims claims = jwtOperator.getClaimsFromToken(token);

            request.setAttribute("id", claims.get("id"));

            request.setAttribute("wxNickname", claims.get("wxNickname"));

            request.setAttribute("role", claims.get("role"));

        } catch (Throwable throwable) {

            throw new SecurityException("Token不合法");

        }

    }

    private HttpServletRequest getHttpServletRequest() {

        RequestAttributes requestAttributes = RequestContextHolder.getRequestAttributes();

        ServletRequestAttributes attributes = (ServletRequestAttributes) requestAttributes;

        return attributes.getRequest();

    }

    @Around("@annotation(com.itmuch.usercenter.auth.CheckAuthorization)")

    public Object checkAuthorization(ProceedingJoinPoint point) throws Throwable {

        try {

            // 1. 验证token是否合法；

            this.checkToken();

            // 2. 验证用户角色是否匹配

            HttpServletRequest request = getHttpServletRequest();

            String role = (String) request.getAttribute("role");

            MethodSignature signature = (MethodSignature) point.getSignature();

            Method method = signature.getMethod();

            CheckAuthorization annotation = method.getAnnotation(CheckAuthorization.class);

            String value = annotation.value();

            if (!Objects.equals(role, value)) {

                throw new SecurityException("用户无权访问！");

            }

        } catch (Throwable throwable) {

            throw new SecurityException("用户无权访问！", throwable);

        }

        return point.proceed();

    }

}

@PutMapping("/audit/{id}")

@CheckAuthorization("admin")

public Share auditById(@PathVariable Integer id, @RequestBody ShareAuditDTO auditDTO) {

    return this.shareService.auditById(id, auditDTO);

}

本章总结

7.【Spring Cloud Alibaba】微服务的用户认证与授权的更多相关文章

Spring Cloud Alibaba | 微服务分布式事务之Seata
Spring Cloud Alibaba | 微服务分布式事务之Seata 本篇实战所使用Spring有关版本: SpringBoot:2.1.7.RELEASE Spring Cloud:Green ...
Spring Cloud Alibaba微服务一站式解决方案-开篇v2.2.1.RELEASE
学习路线 **本人博客网站 **IT小神 www.itxiaoshen.com 生态概述架构演进什么是微服务 https://martinfowler.com/microservices/ Mic ...
Spring Cloud Alibaba微服务架构入门最容易理解篇
微服务架构介绍 Spring Cloud Alibaba推荐的微服务生态架构基于分层架构实现如下: 接入层:最外层为LVS+Keepalived,可承受几十万级高并发流量洪峰,然后再通过内层的ngin ...
Spring Cloud Alibaba微服务生态的基础实践
目录一.背景二.初识Spring Cloud Alibaba 三.Nacos的基础实践 3.1 安装Nacos并启动服务 3.2 建立微服务并向Nacos注册服务 3.3 建立微服务消费者进行服务 ...
Spring Cloud构建微服务架构：服务网关（路由配置）【Dalston版】
转载:http://blog.didispace.com/spring-cloud-starter-dalston-6-2/ 原创 2017-08-26 翟永超 Spring Cloud 被围观 ...
【微服务】使用spring cloud搭建微服务框架，整理学习资料
写在前面使用spring cloud搭建微服务框架,是我最近最主要的工作之一,一开始我使用bubbo加zookeeper制作了一个基于dubbo的微服务框架,然后被架构师否了,架构师曰:此物过时.随 ...
干货｜基于 Spring Cloud 的微服务落地
转自微服务架构模式的核心在于如何识别服务的边界,设计出合理的微服务.但如果要将微服务架构运用到生产项目上,并且能够发挥该架构模式的重要作用,则需要微服务框架的支持. 在Java生态圈,目前使用较多的 ...
基于Spring Cloud的微服务落地
微服务架构模式的核心在于如何识别服务的边界,设计出合理的微服务.但如果要将微服务架构运用到生产项目上,并且能够发挥该架构模式的重要作用,则需要微服务框架的支持. 在Java生态圈,目前使用较多的微服务 ...
Spring Cloud与微服务构建：Spring Cloud简介
Spring Cloud简介微服务因该具备的功能微服务可以拆分为"微"和"服务"二字."微"即小的意思,那到底多小才算"微&q ...

随机推荐

9.Break和Continue
Break直接跳出循环和Continue略过本次循环,循环继续执行: Break在任何循坏语句的主体部分,均可用break控制循环的流程.break用于强制退出循环,不执行循环体中的语句,后边语句继续 ...
[bzoj2038] [洛谷P1494] [2009国家集训队] 小Z的袜子(hose)
Description 作为一个生活散漫的人,小Z每天早上都要耗费很久从一堆五颜六色的袜子中找出一双来穿.终于有一天,小Z再也无法忍受这恼人的找袜子过程,于是他决定听天由命-- 具体来说,小Z把这N只 ...
openjudge 拯救公主
点击打开题目看到这道题,第一感觉是我有一句m2p不知当讲不当讲传送门就算了,你提莫还来宝石,还不给我每种最多有几个~~ 在一般的迷宫问题里,无论已经走了多少步,只要到达同一个点,状态便是等价的,但 ...
【WPF学习】第二十章内容控件
内容控件(content control)是更特殊的控件类型,它们可包含并显示一块内容.从技术角度看,内容控件时可以包含单个嵌套元素的控件.与布局容器不同的是,内容控件只能包含一个子元素,而布局容器主 ...
Python3中的__new__方法以及继承不可变类型类的问题
最近在学到Python中的__new__方法时被弄懵逼了,一开始实在是很难理解,有很多地方想不通(本人强迫症).最近自己慢慢思索得出了能说服自己的理解: 说__new__方法之前要先提到__init_ ...
华硕win10U盘重装系统进入pe
1.先要制作一个U盘的PE启动盘,建议使用WIN8 PE 2.将制作好的PE启动盘接上电脑,开机按F2键进入BIOS ,先将[Secure]菜单下[Secure Boot Control]选项设置为[ ...
.net 项目更改默认命名空间
这个项目是我去年毕业设计做的项目,项目创建的时候由于手抖把Landlordtenant写成了 LandloRdtenant(R大写了),当时不知道如何改回来又担心改完之后报错也就没管了. 今天尝试使用 ...
selenium8中元素定位方式
Selenium对网页的控制是基于各种前端元素的,在使用过程中,对于元素的定位是基础,只有准去抓取到对应元素才能进行后续的自动化控制,我在这里将对各种元素定位方式进行总结归纳一下. 这里将统一使用百度 ...
tmobst4an
(单选题)HTML代码: <table> <tr><td>Value 1</td><td></td></tr> &l ...
9. Palindrome Number QuestionEditorial Solution
Determine whether an integer is a palindrome. Do this without extra space. click to show spoilers. S ...

7.【Spring Cloud Alibaba】微服务的用户认证与授权

有状态 vs 无状态

有状态

无状态

有状态 vs 无状态

微服务认证方案

微服务认证方案01-处处安全

微服务认证方案02-外部无状态，内部有状态

微服务认证方案03-网关认证授权，内部裸奔

微服务认证方案04-内部裸奔改进

方案对比与选择

访问控制模型

JWT是什么？

小程序登录逻辑

实现登录状态检查

Feign调用时传递token

使用拦截器

RestTemplate传递token

RequestInterceptor

ClientHttpRequestInterceptor

实现用户权限验证

本章总结

7.【Spring Cloud Alibaba】微服务的用户认证与授权的更多相关文章

随机推荐

热门专题