微服務通過Feign調用進行密碼安全認證操作

更新時間：2021年06月30日 09:58:50 作者：向大海走去

這篇文章主要介紹了微服務通過Feign調用進行密碼安全認證操作，具有很好的參考價值，希望對大家有所幫助。如有錯誤或未考慮完全的地方，望不吝賜教

微服務通過Feign調用進行密碼安全認證

在項目中，微服務之間的通信也是通過Feign代理的HTTP客戶端通信，為了保護我們的業(yè)務微服務不被其他非法未經允許的服務調用，我們要進行訪問授權配置!

Feign是客戶端配置，@FeignClient注解有個configuation屬性，可以配置我們自定義的配置類，在此類中注入微服務認證攔截器

  /**
     * 訪問微服務需要密碼
     * @return
     */
    @Bean
    public FeignBasicAuthRequestInterceptor requestInterceptor(){
        System.out.println("------>進入微服務認證攔截器");
        return new FeignBasicAuthRequestInterceptor();
    }

feign內部有自帶的BasicAuthRequestInterceptor類實現了RequestInterceptor接口，接收username，password參數，并將此參數通過apply方法設置到了請求頭中

public void apply(RequestTemplate template) {
        template.header("Authorization", new String[]{this.headerValue});
    }

由此我們可知，我們可以自定義類實現RequestInterceptor接口，重寫apply方法，添加我們的認證邏輯，也同樣通過RequestTemplate就token設置到請求頭中!

啟動兩個微服務，打印日志信息，兩個微服務各自的控制臺都打印，證明認證攔截器配置成功，通過Spring容器加載成功

那么，既然feign是客戶端配置，那么客戶端只要知道了所需調用微服務的rest就可以不配置這個攔截器也能訪問，上述代碼并沒有達到保護業(yè)務服務資源的作用，"調用我必須需要密碼"這一行為應該是由微服務強制要求才是!那么微服務在什么地方制定這個規(guī)則呢?

仔細閱讀BasicAuthRequestInterceptor源碼便知客戶端將密碼設置到了請求頭中，feign是模擬HTTP請求到微服務拿取資源，那么微服務就可以通過配置過濾器來過濾所有經過"我"的請求，微服務在過濾器拿到客戶端請求的header就可以開始我們的認證邏輯了!

比較簡單的認證就是各自的微服務通過application.yml配置訪問所需的賬號密碼，將這個賬號密碼告訴授信用的調用方，調用方設置feign攔截器將賬號密碼注入到header中!也可以進行加密傳輸，過濾器再進行解密

微服務過濾器注意對響應設置編碼，否則輸出中文會亂碼

 httpResponse.setCharacterEncoding("UTF-8");
 httpResponse.setContentType("application/json;charset=utf-8");
 PrintWriter print = httpResponse.getWriter();

可以將過濾器抽取在公共類中，否則每個微服務都要配一個過濾器

微服務之間調用部分Feign接口忽略認證授權

在SpringSecurity框架基礎之上實現微服務之間部分接口忽略認證授權.

思路

創(chuàng)建忽略授權注解

獲取所有被注解的類或者方法

在SpringSecurity框架中忽略授權

1. 創(chuàng)建忽略授權注解

@Target({ElementType.TYPE,ElementType.METHOD})
@Retention(RetentionPolicy.RUNTIME)
@Documented
public @interface AuthIgnore {
}

2. 獲取所有被注解的類或者方法

@Slf4j
@Configuration
public class AuthIgnoreConfig implements InitializingBean { 
    @Autowired
    private ApplicationContext applicationContext; 
    private static final Pattern PATTERN = Pattern.compile("\\{(.*?)\\}");
    private static final String ASTERISK = "*"; 
    @Getter
    @Setter
    private List<String> ignoreUrls = new ArrayList<>(); 
    @Override
    public void afterPropertiesSet(){
        RequestMappingHandlerMapping mapping = applicationContext.getBean(RequestMappingHandlerMapping.class);
        Map<RequestMappingInfo, HandlerMethod> map = mapping.getHandlerMethods();
        map.keySet().forEach(mappingInfo -> {
            HandlerMethod handlerMethod = map.get(mappingInfo);
            AuthIgnore method = AnnotationUtils.findAnnotation(handlerMethod.getMethod(), AuthIgnore.class);
            Optional.ofNullable(method)
                    .ifPresent(authIgnore -> mappingInfo
                            .getPatternsCondition()
                            .getPatterns()
                            .forEach(url -> ignoreUrls.add(ReUtil.replaceAll(url, PATTERN, ASTERISK))));
        });
        Optional.ofNullable(applicationContext.getBeansWithAnnotation(AuthIgnore.class))
                .ifPresent(stringObjectMap -> stringObjectMap.values()
                    .forEach(object -> Arrays.asList(object.getClass().getInterfaces()[0].getDeclaredMethods()).forEach(method -> {
                        List<Annotation> annotations = Arrays.asList(method.getAnnotation(RequestMapping.class), method.getAnnotation(PostMapping.class),
                                method.getAnnotation(GetMapping.class));
                        annotations.forEach(annotation -> {
                            if (ObjectUtil.isNotEmpty(annotation)) {
                                try {
                                    Field field = Proxy.getInvocationHandler(annotation).getClass().getDeclaredField("memberValues");
                                    field.setAccessible(true);
                                    Map valueMap = (Map) field.get(Proxy.getInvocationHandler(annotation));
                                    String[] string = (String[])valueMap.get("value");
                                    ignoreUrls.add(StrUtil.SLASH.concat(ReUtil.replaceAll(string[0], PATTERN, ASTERISK)));
                                } catch (Exception e) {
                                   log.error(e.getMessage(),e);
                                }
                            }
                        });
                    })));
    }
}

實現InitializingBean接口后,該類初始化的時候會調用afterPropertiesSet方法

代碼中的工具類統(tǒng)一使用的hutool工具類

3. 在SpringSecurity框架中忽略授權

@Override
    public void configure(WebSecurity web) throws Exception {
        web.ignoring().antMatchers("/**/api/**","/v2/**","/actuator/**","doc.html")
                .antMatchers(authIgnoreConfig.getIgnoreUrls().stream().distinct().toArray(String[]::new));
    }

authIgnoreConfig變量為第二步的類,使用@Autowired注解注入進來即可