前后端分离架构下 利用SpringBoot确保接口安全性

点击蓝字关注我们

随着互联网技术的不断发展，前后端分离已成为一种趋势，而在这种架构下，接口安全性显得尤为重要。以下是几种常用的方法来确保在前后端分离架构下，利用SpringBoot框架的接口安全性。

接口签名

生成签名

前端在发送请求时，将请求参数按照一定规则进行排序，并拼接成字符串，然后使用加密算法（如MD5、SHA256等）生成签名。

验证签名

后端接收到请求后，同样对请求参数进行排序和拼接，然后使用相同的加密算法生成签名，与前端传来的签名进行对比，如果一致，则认为是合法请求。

代码示例

spring boot后端

@Component  public class SignatureFilter implements Filter {      @Override      public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)              throws IOException, ServletException {          HttpServletRequest httpRequest = (HttpServletRequest) request;          // 提取请求中的参数和签名          String signature = httpRequest.getHeader("Signature");          // 模拟生成签名逻辑，实际中需要根据具体规则实现          String calculatedSignature = calculateSignature(httpRequest);          if (signature != null && signature.equals(calculatedSignature)) {              chain.doFilter(request, response);          } else {              response.getWriter().write("Invalid Signature");              response.setStatus(HttpServletResponse.SC_FORBIDDEN);          }      }      private String calculateSignature(HttpServletRequest request) {          // 实现签名计算逻辑          return "计算签名";      }  }

vue前端

axios.interceptors.request.use(      config => {          // 生成签名逻辑          const params = qs.stringify(config.data); // 假设使用qs库处理params          const signature = generateSignature(params); // 自定义函数          config.headers['Signature'] = signature;          return config;      },      error => {          return Promise.reject(error);      }  );  function generateSignature(params) {      // 实现签名逻辑      return '计算签名';  }

Token认证

生成Token

用户登录成功后，后端生成一个Token，并将其返回给前端。

传递Token

前端在后续请求中，将Token携带在请求头（如`Authorization`）或请求参数中。

验证Token

后端接收到请求后，对Token进行验证（如检查Token的有效期、签名等），确保请求来自合法用户。

代码示例

spring boot后端

@Component  public class SignatureFilter implements Filter {    @RestController    public class AuthController {        @PostMapping("/login")        public ResponseEntity<?> login(@RequestBody UserCredentials credentials) {            // 验证用户名和密码              // 假设验证通过，生成Token              String token = generateToken(credentials.getUsername());            return ResponseEntity.ok(Map.of("token", token));        }        private String generateToken(String username) {            // 实现Token生成逻辑，可以使用JWT库              return "your-jwt-token";        }        // 其他API...      }}

vue前端

axios.interceptors.request.use(    config => {        const token = localStorage.getItem('token');        if (token) {            config.headers['Authorization'] = `Bearer ${token}`;        }        return config;    },    error => {        return Promise.reject(error);    });

权限控制

角色权限

为不同角色的用户分配不同的权限，如管理员、普通用户等。通过角色来控制用户对系统资源的访问权限。

路由权限

针对不同的接口，设置不同的访问权限，如部分接口只允许管理员访问。通过路由拦截或注解等方式实现。

数据权限

根据用户权限，控制其对数据的访问范围，如普通用户只能查看自己的数据。在数据处理逻辑中根据用户身份进行过滤。

代码示例

使用Spring Security定义角色和权限

@Configuration@EnableWebSecuritypublic class WebSecurityConfig extends WebSecurityConfigurerAdapter {    @Override    protected void configure(HttpSecurity http) throws Exception {        http            .authorizeRequests()            .antMatchers("/admin/**").hasRole("ADMIN")            .anyRequest().authenticated()            .and()            .formLogin()            .and()            .httpBasic();    }    // 配置用户详情服务（从数据库等加载用户信息）  }

HTTPS协议

SSL证书

为服务器配置SSL证书，确保数据在传输过程中的安全性。SSL证书由可信的证书颁发机构（CA）颁发，用于加密和解密传输的数据。

加密传输

采用HTTPS协议，对请求和响应数据进行加密处理，防止数据在传输过程中被窃听或篡改。HTTPS协议在HTTP协议的基础上增加了SSL/TLS加密层。

配置示例

为了启用HTTPS，你需要获取SSL证书并配置Spring Boot应用以使用HTTPS。这通常涉及到在服务器上配置SSL证书。

server.port=8443server.ssl.key-store=classpath:keystore.p12server.ssl.key-store-password=passwordserver.ssl.key-alias=tomcatserver.ssl.key-password=password

防止常见网络攻击

防止SQL注入

对输入参数进行严格校验，使用预编译语句（PreparedStatement）等手段避免SQL注入风险。预编译语句能够有效地防止SQL注入攻击。

// 使用预编译语句String sql = "SELECT * FROM users WHERE username = ?";PreparedStatement pstmt = connection.prepareStatement(sql);pstmt.setString(1, username);ResultSet rs = pstmt.executeQuery();

防止XSS攻击

对用户输入进行过滤和转义，避免恶意脚本在浏览器端执行。可以使用HTML转义库或框架提供的安全功能来自动处理用户输入。

// 在Vue中自动转义HTML<div v-html="trustedContent"></div><div>{{ untrustedContent }}</div>

防止CSRF攻击

在请求中添加CSRF Token，确保请求来自合法页面。CSRF Token通常与用户的会话绑定，并在每个请求中验证其有效性。可以在Spring Security中通过启用CSRF保护来防御同时你可以通过@CsrfTokenRepository来自定义Token的存储和检索。

使用加密算法

使用加密算法不仅可以用于生成接口签名，还可以应用于其他方面，比如保护敏感信息、确保数据完整性等。

代码示例

使用HMAC（Hash-based Message Authentication Code）算法示例

import org.springframework.web.bind.annotation.GetMapping;import org.springframework.web.bind.annotation.RequestParam;import org.springframework.web.bind.annotation.RestController;import javax.crypto.Mac;import javax.crypto.spec.SecretKeySpec;import java.security.InvalidKeyException;import java.security.NoSuchAlgorithmException;import java.nio.charset.StandardCharsets;import java.util.Base64;@RestControllerpublic class HmacController {    private static final String SECRET_KEY = "your_secret_key"; // 秘钥应该存储在一个安全的地方    @GetMapping("/api/hmac")    public String verifyHmac(@RequestParam("hmac") String hmac, @RequestParam Map<String, String> params) {        try {            Mac sha256_HMAC = Mac.getInstance("HmacSHA256");            SecretKeySpec secret_key = new SecretKeySpec(SECRET_KEY.getBytes(StandardCharsets.UTF_8), "HmacSHA256");            sha256_HMAC.init(secret_key);            List<String> sortedKeys = params.keySet().stream().sorted().collect(Collectors.toList());            StringBuilder sb = new StringBuilder();            for (String key : sortedKeys) {                sb.append(key).append(params.get(key));            }            byte[] hash = sha256_HMAC.doFinal(sb.toString().getBytes(StandardCharsets.UTF_8));            String serverHmac = Base64.getEncoder().encodeToString(hash);            if (serverHmac.equals(hmac)) {                return "HMAC验证成功";            } else {                throw new RuntimeException("HMAC验证失败");            }        } catch (NoSuchAlgorithmException | InvalidKeyException e) {            throw new RuntimeException("加密算法错误", e);        }    }}

export default {    methods: {        sendHmacRequest() {            const params = { 'param1': 'value1', 'param2': 'value2' };            const sortedParams = Object.keys(params).sort().reduce((acc, key) => {                acc[key] = params[key];                return acc;            }, {});            let dataString = '';            for (let key in sortedParams) {                dataString += key + sortedParams[key];            }            const secretKey = 'your_secret_key'; // 秘钥应该从后端安全地获取            const key = new TextEncoder().encode(secretKey);            const message = new TextEncoder().encode(dataString);            crypto.subtle.importKey(                'raw',                key,                { name: 'HMAC', hash: { name: 'SHA-256' } },                false,                ['sign']            ).then((importedKey) => {                return crypto.subtle.sign('HMAC', importedKey, message);            }).then((signatureBuffer) => {                const hmac = btoa(String.fromCharCode.apply(null, new Uint8Array(signatureBuffer)));                axios.get('/api/hmac', {                    params: {                        ...sortedParams,                        hmac: hmac                    }                }).then(response => {                    console.log(response.data);                }).catch(error => {                    console.error(error);                });            }).catch(error => {                console.error(error);            });        }    }}

该例子只是一个简单的demo，在实际项目中在spring boot下我们可以将解密操作放在HttpServletResponseWrapper中，同时加密操作放在HttpServletRequestWrapper中。这样在编码过程中就可以无感接口加密。但是需要注意的是接口加密解密会影响接口性能，在业务中也是并非所有的接口都需要加密操作，请大家根据业务情况酌情考虑。

通过综合措施与Spring Boot的内置安全特性，我们可以显著增强前后端分离架构下接口的安全性。值得注意的是，Spring Boot框架本身也在安全领域做出了诸多努力，为开发者提供了强大的安全工具和默认配置，从而进一步简化了安全性的实现与维护。

Spring Boot中的安全努力示例

1. Spring Security集成：

·Spring Boot无缝集成了Spring Security，这是一个功能强大且高度可定制的身份验证和访问控制框架。它提供了声明式的安全访问控制方法，允许通过简单的配置即可保护你的应用程序。

·示例：通过简单的注解（如@PreAuthorize、@Secured等），你可以轻松地对方法或类级别的访问进行权限控制，确保只有授权用户才能访问特定资源。

2. HTTPS默认配置支持：

·虽然直接配置SSL/TLS证书和HTTPS协议不是Spring Boot的核心功能，但它提供了良好的集成支持，使得你可以轻松地将应用配置为通过HTTPS提供服务。

·示例：结合Spring Boot的Actuator和Spring Cloud等组件，你可以轻松地管理和监控HTTPS连接的配置和状态。

3. 防止常见安全漏洞：

·Spring Boot通过提供最新的依赖项和自动配置，帮助开发者避免了一些常见的安全漏洞，如SQL注入、XSS攻击和CSRF攻击。

·示例：对于SQL注入，Spring Boot推荐使用JPA、MyBatis等ORM框架，这些框架内部已经实现了预编译语句和参数化查询，从而减少了SQL注入的风险。

4. 安全头信息配置：