当前位置：首页 > news >正文

【框架】参考 Spring Security 安全框架设计出，轻量化高可扩展的身份认证与授权架构

news 来源：原创 2025/6/12 21:41:45

关键字：AOP、JWT、自定义注解、责任链模式

一、Spring Security

Spring Security 想必大家并不陌生，是 Spring 家族里的一个安全框架，特别完善，但学习成本比较大，不少开发者都觉得，这个框架“很重”

他的认证授权的过程时使用的 api 和组件比较复杂，但这不是主要的顾虑

并且，他是基于过滤器实现的，其过程抛出的异常并不会被全局异常处理器拦截，通过 SpringSecurity 认证授权的请求，才算进入我们的 Spring 环境下

但不得不说他确实有优点

对请求的一个 AOP 的统一处理（但是好像没有专门的后置处理器）
可以通过添加过滤器的方式增加认证过程，也对某些路由可添加授权过程
框架的一些注解，例如 @PreAuthorize，可以很方便的进行接口权限的设置

虽然它封装了很多现成的东西，但其实一些自己去写也没什么大不了的，还可以按照自己的想法去定制

我们可以学习它的优点去优化一下我们原本的认证授权架构

二、AOP + JWT

通过全局拦截器，拦截所有的请求，请求携带访问令牌 JWT，这里就不必多说了

三、自定义注解

自定义一个可以 Retention 为 Runtime，Target 为 TYPE 或 METHOD 的注解：

允许访问的角色
是否需要认证
是否需要授权

标注在 Controller 类才有用，若加在类上，则作用于所有方法，若标注在方法上，则以方法上的为准

意为此接口的拦截参数

/**
 * Created With Intellij IDEA
 * User: 马拉圈
 * Date: 2024-08-08
 * Time: 12:50
 * <br />
 * permit: 用户必须是列表中的角色才能访问 <br />
 * authenticate: 用户需不需要通过认证 <br />
 * authorize: 用户需不需要通过授权 <br />
 * 注意： <br />
 * permit 若为 {}，则代表谁都不能访问，除非 authorize 为 false <br />
 * 1. 不需要认证、不需要授权 ✅ <br />
 * 2. 需要认证、需要授权 ✅ <br />
 * 3. 需要认证、不需要授权 ✅ <br />
 * 4. 不需要认证、需要授权 ❌（必然失败） <br />
 */
@Documented
@Target({ElementType.TYPE, ElementType.METHOD})
@Retention(RetentionPolicy.RUNTIME)
public @interface Intercept {

    UserType[] permit() default {UserType.NORMAL_USER, UserType.MANAGER};

    boolean authenticate() default true; // 默认需要认证

    boolean authorize() default true; // 默认需要授权

}

@Slf4j
public class InterceptHelper {

    public static Intercept getIntercept(Class<?> clazz) {
        // 类上的 Intercept 为初步结果
        return clazz.isAnnotationPresent(Intercept.class) ? clazz.getAnnotation(Intercept.class) : null;
    }

    public static Intercept getIntercept(Method targetMethod) {
        // 获取目标方法所在的类
        Class<?> declaringClass = targetMethod.getDeclaringClass();
        // 类上的 Intercept 为初步结果
        Intercept intercept = getIntercept(declaringClass);
        // 方法上的 Intercept 为最终结果
        return targetMethod.isAnnotationPresent(Intercept.class) ? targetMethod.getAnnotation(Intercept.class) : intercept;
    }

}

四、责任链模式

责任链：

抽象处理者
具体处理者
客户端（我习惯是责任链的链头）

设计出以下架构：

前置初始化链
1. 初始化日志变量、设置请求 id、请求 uri、请求方法，便于全链路追踪
2. 根据配置文件对特定接口设置的拦截参数，判断当前请求的接口是否被设置了特殊的拦截参数
3. 请求的接口如果存在目标方法，则判断其方法上或者类上是否存在 @Intercept 注解，若存在则初始化拦截参数

若不存在拦截参数，则代表该资源没有被开发者专门进行拦截的管理，直接返回错误：api 访问失败

前置认证链
1. 是否忽略，若 authenticate 参数为 false，则直接忽略
2. 若认证未成功且未获取 jwt，则尝试从 header 里获取 jwt
3. 若认证未成功且未获取 jwt，则此时从 queryString 里获取 jwt
4. 若认证未成功，则解析 jwt，若成功解析出用户信息，则存储到本地线程变量里（若令牌即将过期，则返回一个新的 jwt）

若未认证成功，则返回错误：认证失败