Spring?Boot怎么實現通用Auth認證

這篇文章主要介紹“Spring Boot怎么實現通用Auth認證”，在日常操作中，相信很多人在Spring Boot怎么實現通用Auth認證問題上存在疑惑，小編查閱了各式資料，整理出簡單好用的操作方法，希望對大家解答”Spring Boot怎么實現通用Auth認證”的疑惑有所幫助！接下來，請跟著小編一起來學習吧！

一、前言

這個 web 框架是部門前驅者基于 spring-boot 實現的，介于業務和 Spring 框架之間，做一些偏向于業務的通用性功能，如 日志輸出、功能開關、通用參數解析等。平常是對業務透明的，最近一直忙于把需求做好，代碼寫好，甚至從沒注意過它的存在。

二、傳統AOP

對于這種需求，首先想到的當然是 Spring-boot 提供的 AOP 接口，只需要在 Controller 方法前添加切點，然后再對切點進行處理即可。

實現

其使用步驟如下：

• 使用 @Aspect 聲明一下切面類 WhitelistAspect；

• 在切面類內添加一個切點 whitelistPointcut()，為了實現此切點靈活可裝配的能力，這里不使用 execution 全部攔截，而是添加一個注解 @Whitelist，被注解的方法才會校驗白名單。

• 在切面類中使用 spring 的 AOP 注解 @Before 聲明一個通知方法 checkWhitelist() 在 Controller 方法被執行之前校驗白名單。

切面類偽代碼如下：

@Aspect
public class WhitelistAspect {

@Before(value = "whitelistPointcut() && @annotation(whitelist)")
public void checkAppkeyWhitelist(JoinPoint joinPoint, Whitelist whitelist) {
checkWhitelist();
// 可使用 joinPoint.getArgs() 獲取Controller方法的參數
// 可以使用 whitelist 變量獲取注解參數
}

@Pointcut("@annotation(com.zhenbianshu.Whitelist)")
public void whitelistPointCut() {
}
}

在Controller方法上添加 @Whitelist 注解實現功能。

三、Interceptor

Spring 的 攔截器(Interceptor) 實現這個功能也非常合適。顧名思義，攔截器用于在 Controller 內 Action 被執行前通過一些參數判斷是否要執行此方法，要實現一個攔截器，可以實現 Spring 的 HandlerInterceptor 接口。

實現

實現步驟如下：

• 定義攔截器類 AppkeyInterceptor 類并實現 HandlerInterceptor 接口。

• 實現其 preHandle() 方法；

• 在 preHandle 方法內通過注解和參數判斷是否需要攔截請求，攔截請求時接口返回 false；

• 在自定義的 WebMvcConfigurerAdapter 類內注冊此攔截器；

AppkeyInterceptor 類如下：

@Component
public class WhitelistInterceptor implements HandlerInterceptor {

@Override
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
Whitelist whitelist = ((HandlerMethod) handler).getMethodAnnotation(Whitelist.class);
// whitelist.values(); 通過 request 獲取請求參數，通過 whitelist 變量獲取注解參數
return true;
}

@Override
public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {
// 方法在Controller方法執行結束后執行
}

@Override
public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {
// 在view視圖渲染完成后執行
}
}

拓展

要啟用 攔截器還要顯式配置它啟用，這里我們使用 WebMvcConfigurerAdapter 對它進行配置。需要注意，繼承它的的 MvcConfiguration 需要在 ComponentScan 路徑下。

@Configuration
public class MvcConfiguration extends WebMvcConfigurerAdapter {
@Override
public void addInterceptors(InterceptorRegistry registry) {
registry.addInterceptor(new WhitelistInterceptor()).addPathPatterns("/*").order(1);
// 這里可以配置攔截器啟用的 path 的順序，在有多個攔截器存在時，任一攔截器返回 false 都會使后續的請求方法不再執行
}
}

還需要注意，攔截器執行成功后響應碼為 200，但響應數據為空。

當使用攔截器實現功能后，領導終于祭出大招了：我們已經有一個 Auth 參數了，appkey 可以從 Auth 參數里取到，可以把在不在白名單作為 Auth 的一種方式，為什么不在 Auth 時校驗？emmm… 吐血中。

四、ArgumentResolver

參數解析器是 Spring 提供的用于解析自定義參數的工具，我們常用的 @RequestParam 注解就有它的影子，使用它，我們可以將參數在進入Controller Action之前就組合成我們想要的樣子。

Spring 會維護一個 ResolverList， 在請求到達時，Spring 發現有自定義類型參數（非基本類型）， 會依次嘗試這些 Resolver，直到有一個 Resolver 能解析需要的參數。要實現一個參數解析器，需要實現 HandlerMethodArgumentResolver 接口。

實現

• 定義自定義參數類型 AuthParam，類內有 appkey 相關字段；

• 定義 AuthParamResolver 并實現 HandlerMethodArgumentResolver 接口；

• 實現 supportsParameter() 接口方法將 AuthParam 與 AuthParamResolver 適配起來；

• 實現 resolveArgument() 接口方法解析 reqest 對象生成 AuthParam 對象，并在此校驗 AuthParam ，確認 appkey 是否在白名單內；

• 在 Controller Action 方法上簽名內添加 AuthParam 參數以啟用此 Resolver;

實現的 AuthParamResolver 類如下

@Component
public class AuthParamResolver implements HandlerMethodArgumentResolver {

@Override
public boolean supportsParameter(MethodParameter parameter) {
return parameter.getParameterType().equals(AuthParam.class);
}

@Override
public Object resolveArgument(MethodParameter parameter, ModelAndViewContainer mavContainer, NativeWebRequest webRequest, WebDataBinderFactory binderFactory) throws Exception {
Whitelist whitelist = parameter.getMethodAnnotation(Whitelist.class);
// 通過 webRequest 和 whitelist 校驗白名單
return new AuthParam();
}
}

拓展

當然，使用參數解析器也需要單獨配置，我們同樣在 WebMvcConfigurerAdapter內配置：

@Configuration
public class MvcConfiguration extends WebMvcConfigurerAdapter {

@Override
public void addArgumentResolvers(List<HandlerMethodArgumentResolver> argumentResolvers) {
argumentResolvers.add(new AuthParamResolver());
}
}

這次實現完了，我還有些不放心，于是在網上查找是否還有其他方式可以實現此功能，發現常見的還有 Filter。

四、Filter

Filter 并不是 Spring 提供的，它是在 Servlet 規范中定義的，是 Servlet 容器支持的。被 Filter 過濾的請求，不會派發到 Spring 容器中。它的實現也比較簡單，實現 javax.servlet.Filter接口即可。

由于不在 Spring 容器中，Filter 獲取不到 Spring 容器的資源，只能使用原生 Java 的 ServletRequest 和 ServletResponse 來獲取請求參數。

另外，在一個 Filter 中要顯示調用 FilterChain 的 doFilter 方法，不然認為請求被攔截。實現類似：

public class WhitelistFilter implements javax.servlet.Filter {

@Override
public void init(FilterConfig filterConfig) throws ServletException {
// 初始化后被調用一次
}

@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
// 判斷是否需要攔截
chain.doFilter(request, response); // 請求通過要顯示調用
}

@Override
public void destroy() {
// 被銷毀時調用一次
}
}

拓展

Filter 也需要顯示配置：
@Configuration
public class FilterConfiguration {

@Bean
public FilterRegistrationBean someFilterRegistration() {
FilterRegistrationBean registration = new FilterRegistrationBean();
registration.setFilter(new WhitelistFilter());
registration.addUrlPatterns("/*");
registration.setName("whitelistFilter");
registration.setOrder(1); // 設置過濾器被調用的順序
return registration;
}
}

到此，關于“Spring Boot怎么實現通用Auth認證”的學習就結束了，希望能夠解決大家的疑惑。理論與實踐的搭配能更好的幫助大家學習，快去試試吧！若想繼續學習更多相關知識，請繼續關注億速云網站，小編會繼續努力為大家帶來更多實用的文章！