2021-07-29

Spring Boot 实现通用 Auth 认证的 4 种方式！

来源：https://zhenbianshu.github.io/

文章介绍了spring-boot中实现通用auth的四种方式，包括 传统AOP、拦截器、参数解析器和过滤器，并提供了对应的实例代码，最后简单总结了下他们的执行顺序。

前言

最近一直被无尽的业务需求淹没，没时间喘息，终于接到一个能让我突破代码舒适区的活儿，解决它的过程非常曲折，一度让我怀疑人生，不过收获也很大，代码方面不明显，但感觉自己抹掉了 java、Tomcat、Spring 一直挡在我眼前的一层纱。对它们的理解上了一个新的层次。

好久没输出了，于是挑一个方面总结一下，希望在梳理过程中再了解一些其他的东西。由于 Java 繁荣的生态，下面每一个模块都有大量的文章专门讲述。所以我选了另外一个角度，从实际问题出发，将这些分散的知识串联起来，各位可以作为一个综述来看。各个模块的极致详细介绍，大家可以去翻官方文档或看网络上的其他博客。

需求很简单清晰，跟产品们提的妖艳需求一点也不一样：在我们的 web 框架里添加一个通用的 appkey 白名单校验功能，希望它的扩展性更好一些。

这个 web 框架是部门前驱者基于 spring-boot 实现的，介于业务和 Spring 框架之间，做一些偏向于业务的通用性功能，如 日志输出、功能开关、通用参数解析等。平常是对业务透明的，最近一直忙于把需求做好，代码写好，甚至从没注意过它的存在。

传统AOP

对于这种需求，首先想到的当然是 Spring-boot 提供的 AOP 接口，只需要在 Controller 方法前添加切点，然后再对切点进行处理即可。

实现

其使用步骤如下：

  1. 使用 @Aspect 声明一下切面类 WhitelistAspect；
  2. 在切面类内添加一个切点 whitelistPointcut()，为了实现此切点灵活可装配的能力，这里不使用 execution 全部拦截，而是添加一个注解 @Whitelist，被注解的方法才会校验白名单。
  3. 在切面类中使用 spring 的 AOP 注解 @Before 声明一个通知方法 checkWhitelist() 在 Controller 方法被执行之前校验白名单。

切面类伪代码如下

@Aspectpublic class WhitelistAspect { @Before(value = "whitelistPointcut() && @annotation(whitelist)") public void checkAppkeyWhitelist(JoinPoint joinPoint, Whitelist whitelist) {  checkWhitelist();  // 可使用 joinPoint.getArgs() 获取Controller方法的参数  // 可以使用 whitelist 变量获取注解参数 }  @Pointcut("@annotation(com.zhenbianshu.Whitelist)") public void whitelistPointCut() { }}

在Controller方法上添加 @Whitelist 注解实现功能。

扩展

本例中使用了 注解 来声明切点，并且我实现了通过注解参数来声明要校验的白名单，如果之后还需要添加其他白名单的话，如通过 UID 来校验，则可以为此注解添加 uid() 等方法，实现自定义校验。

此外，spring 的 AOP 还支持 execution（执行方法） 、bean（匹配特定名称的 Bean 对象的执行方法）等切点声明方法和 @Around（在目标函数执行中执行） 、@After（方法执行后） 等通知方法。

如此，功能已经实现了，但领导并不满意=_=，原因是项目中 AOP 用得太多了，都用滥了，建议我换一种方式。嗯，只好搞起。

Interceptor

Spring 的 拦截器(Interceptor) 实现这个功能也非常合适。顾名思义，拦截器用于在 Controller 内 Action 被执行前通过一些参数判断是否要执行此方法，要实现一个拦截器，可以实现 Spring 的 HandlerInterceptor 接口。

实现

实现步骤如下：

  1. 定义拦截器类 AppkeyInterceptor 类并实现 HandlerInterceptor 接口。
  2. 实现其 preHandle() 方法；
  3. 在 preHandle 方法内通过注解和参数判断是否需要拦截请求，拦截请求时接口返回 false；
  4. 在自定义的 WebMvcConfigurerAdapter 类内注册此拦截器；

AppkeyInterceptor 类如下：

@Componentpublic class WhitelistInterceptor implements HandlerInterceptor { @Override public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {  Whitelist whitelist = ((HandlerMethod) handler).getMethodAnnotation(Whitelist.class);  // whitelist.values(); 通过 request 获取请求参数，通过 whitelist 变量获取注解参数  return true; } @Override public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception { // 方法在Controller方法执行结束后执行 } @Override public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception { // 在view视图渲染完成后执行 }}

扩展

要启用 拦截器还要显式配置它启用，这里我们使用 WebMvcConfigurerAdapter 对它进行配置。需要注意，继承它的的 MvcConfiguration 需要在 ComponentScan 路径下。

@Configurationpublic class MvcConfiguration extends WebMvcConfigurerAdapter { @Override public void addInterceptors(InterceptorRegistry registry) {  registry.addInterceptor(new WhitelistInterceptor()).addPathPatterns("/*").order(1);  // 这里可以配置拦截器启用的 path 的顺序，在有多个拦截器存在时，任一拦截器返回 false 都会使后续的请求方法不再执行 }}

还需要注意，拦截器执行成功后响应码为 200，但响应数据为空。

当使用拦截器实现功能后，领导终于祭出大招了：我们已经有一个 Auth 参数了，appkey 可以从 Auth 参数里取到，可以把在不在白名单作为 Auth 的一种方式，为什么不在 Auth 时校验？emmm… 吐血中。

ArgumentResolver

参数解析器是 Spring 提供的用于解析自定义参数的工具，我们常用的 @RequestParam 注解就有它的影子，使用它，我们可以将参数在进入Controller Action之前就组合成我们想要的样子。

Spring 会维护一个 ResolverList， 在请求到达时，Spring 发现有自定义类型参数（非基本类型）， 会依次尝试这些 Resolver，直到有一个 Resolver 能解析需要的参数。要实现一个参数解析器，需要实现 HandlerMethodArgumentResolver 接口。

实现

  1. 定义自定义参数类型 AuthParam，类内有 appkey 相关字段；
  2. 定义 AuthParamResolver 并实现 HandlerMethodArgumentResolver 接口；
  3. 实现 supportsParameter() 接口方法将 AuthParam 与 AuthParamResolver 适配起来；
  4. 实现 resolveArgument() 接口方法解析 reqest 对象生成 AuthParam 对象，并在此校验 AuthParam ，确认 appkey 是否在白名单内；
  5. 在 Controller Action 方法上签名内添加 AuthParam 参数以启用此 Resolver;

实现的 AuthParamResolver 类如下：

@Componentpublic class AuthParamResolver implements HandlerMethodArgumentResolver { @Override public boolean supportsParameter(MethodParameter parameter) {  return parameter.getParameterType().equals(AuthParam.class); } @Override public Object resolveArgument(MethodParameter parameter, ModelAndViewContainer mavContainer, NativeWebRequest webRequest, WebDataBinderFactory binderFactory) throws Exception {  Whitelist whitelist = parameter.getMethodAnnotation(Whitelist.class);  // 通过 webRequest 和 whitelist 校验白名单  return new AuthParam(); }}

扩展

当然，使用参数解析器也需要单独配置，我们同样在 WebMvcConfigurerAdapter内配置：

@Configurationpublic class MvcConfiguration extends WebMvcConfigurerAdapter { @Override public void addArgumentResolvers(List<HandlerMethodArgumentResolver> argumentResolvers) { ......
原文转载：http://www.shaoqun.com/a/893370.html
跨境电商：https://www.ikjzd.com/
立刻网：https://www.ikjzd.com/w/2323
 
new old stock：https://www.ikjzd.com/w/2341
 
铭宣：https://www.ikjzd.com/w/1551.html
 
来源：https://zhenbianshu.github.io/文章介绍了spring-boot中实现通用auth的四种方式，包括传统AOP、拦截器、参数解析器和过滤器，并提供了对应的实例代码，最后简单总结了下他们的执行顺序。前言最近一直被无尽的业务需求淹没，没时间喘息，终于接到一个能让我突破代码舒适区的活儿，解决它的过程非常曲折，一度让我怀疑人生，不过收获也很大，代码方面不明显，但感觉自己抹掉
跨境通电子商务网站：https://www.ikjzd.com/w/1329
遂溪螺岗小镇门票多少钱？团购票价优惠吗：http://www.30bags.com/a/266325.html
遂溪螺岗小镇营业时间？开放时间：http://www.30bags.com/a/266324.html
穗东庙头：一座"与时俱进"的千年古村_庙头村：http://www.30bags.com/a/220780.html
穗东深度游！这份攻略快收藏！：http://www.30bags.com/a/222224.html
口述我和两女玩双飞的经历 那一夜夹得我好紧好爽：http://lady.shaoqun.com/a/248286.html
我没有穿内裤坐公车 随着车的晃动一进一出做：http://lady.shaoqun.com/m/a/247998.html
公又粗又长又大又深好爽 公么好舒服不要拔出来：http://www.30bags.com/m/a/249769.html
2021郑州好玩的地方 郑州好玩的地方有哪些 ：http://www.30bags.com/a/518632.html
2021浙江哪里好玩 浙江好玩的地方有哪些 ：http://www.30bags.com/a/518633.html
合租一个房间后，女方的痛苦"下文"怎么了？需要注意的五个原因：http://lady.shaoqun.com/a/428535.html
深圳超凡与人间展览在哪里、怎么去：http://www.30bags.com/a/518634.html
Posted by at

No comments:

Post a Comment

Subscribe to: Post Comments (Atom)