第7章 Spring Security 的 REST API 与微服务安全（2024 最新版）（中）+https://developer.aliyun.com/article/1487156
7.2.4 拓展案例 2：API 网关安全
在微服务架构中，API网关扮演着重要的角色，它不仅是微服务的统一入口，也是实施安全策略的理想位置。通过在API网关层面集中处理身份验证、授权、以及流量控制，可以大大简化单个微服务的安全配置。以下案例将演示如何利用Spring Cloud Gateway实现API网关的安全配置。
案例 Demo
步骤 1: 引入Spring Cloud Gateway依赖
首先，确保在微服务项目的pom.xml中引入Spring Cloud Gateway依赖：
<dependency> <groupId>org.springframework.cloud</groupId> <artifactId>spring-cloud-starter-gateway</artifactId> </dependency>
步骤 2: 配置API网关路由
接下来，在application.yml中配置API网关的路由规则，将不同的请求转发到对应的微服务：
spring: cloud: gateway: routes: - id: user-service uri: lb://USER-SERVICE predicates: - Path=/user/** filters: - RemoveRequestHeader=Cookie - id: order-service uri: lb://ORDER-SERVICE predicates: - Path=/order/**
这里使用了lb://前缀指定服务发现中的服务ID，RemoveRequestHeader过滤器用来移除敏感的请求头信息。
步骤 3: 实现全局过滤器进行身份验证
在API网关中实现一个全局过滤器，用于检查请求是否包含有效的身份验证信息，如JWT令牌。创建GlobalAuthFilter类实现GlobalFilter接口：
import org.springframework.cloud.gateway.filter.GatewayFilterChain; import org.springframework.cloud.gateway.filter.GlobalFilter; import org.springframework.core.Ordered; import org.springframework.http.HttpStatus; import org.springframework.web.server.ServerWebExchange; import reactor.core.publisher.Mono; @Component public class GlobalAuthFilter implements GlobalFilter, Ordered { @Override public Mono<Void> filter(ServerWebExchange exchange, GatewayFilterChain chain) { // 检查请求中的身份验证信息，例如JWT令牌 String token = exchange.getRequest().getHeaders().getFirst("Authorization"); if (token == null || !token.startsWith("Bearer ")) { exchange.getResponse().setStatusCode(HttpStatus.UNAUTHORIZED); return exchange.getResponse().setComplete(); } // 进行令牌验证... return chain.filter(exchange); } @Override public int getOrder() { return -100; // 设置过滤器优先级 } }
步骤 4: 限流和熔断配置
使用Spring Cloud Gateway的内置支持来配置限流和熔断，保护后端微服务不受恶意访问或流量洪峰的影响。在application.yml中添加相应配置：
spring: cloud: gateway: routes: - id: user-service uri: lb://USER-SERVICE predicates: - Path=/user/** filters: - name: RequestRateLimiter args: key-resolver: "#{@userKeyResolver}" redis-rate-limiter.replenishRate: 10 redis-rate-limiter.burstCapacity: 20
这里配置了一个基于Redis的请求速率限制器，key-resolver用于确定限流的键，这里假设已经有一个userKeyResolver的Bean定义了用户识别逻辑。
通过这些步骤，你的API网关将能够有效地管理和保护微服务架构中的流量，实现统一的身份验证、授权以及流量控制。通过在API网关集中处理安全逻辑，可以减轻各个微服务的安全负担，简化安全配置和管理。
通过实施这些微服务安全最佳实践，你可以构建一个既灵活又安全的微服务架构，有效保护服务和数据免受各种网络安全威胁的侵害。记得，安全是一个持续的过程，需要定期审查和更新你的安全策略和实践。
7.3 API 网关集成
在微服务架构中，API网关作为客户端和服务之间的中介，承担着路由请求、聚合响应、身份验证与授权、以及流量监控等关键职责。通过集成API网关，可以在微服务架构中实现统一的入口点，简化客户端的交互，同时加强服务的安全性和可管理性。
7.3.1 基础知识详解
在现代微服务架构中，API网关不仅仅是一个简单的路由器，而是服务和数据流的关键管理点。它承担着请求转发、服务聚合、安全验证、流量控制和监控等多项职责。深入理解API网关的作用和配置方法对于构建一个高效、安全的微服务系统至关重要。
请求路由
- 定义：API网关接收外部请求，并根据预定义的规则将请求转发到对应的后端服务。
- 作用：实现了请求的负载均衡，提高了系统的可用性和扩展性。
服务聚合
- 定义：API网关可以将来自多个微服务的数据聚合成一个统一的响应返回给客户端。
- 优势：减少了客户端需要发送的请求数量，优化了数据交互流程，提高了用户体验。
身份验证与授权
- 中心化安全策略：在API网关层面集中处理所有进入微服务系统的请求的身份验证和授权。
- 优点：简化了单个微服务的安全配置，提高了安全性和维护性。
流量控制
- 限流：限制对API的请求速率，防止服务因过载而崩溃。
- 熔断：在下游服务不可用时，自动停止向其发送请求，防止故障蔓延。
日志和监控
- 集中式日志管理：API网关可以记录所有经过的请求和响应，为系统监控和故障排查提供详细数据。
- 监控指标：收集关于请求延迟、成功率和服务健康状况等关键指标，帮助维护系统稳定性。
安全性
- 传输加密：使用HTTPS等技术加密客户端和API网关之间的通信，保护数据安全。
- 跨域资源共享（CORS）：API网关可以统一处理CORS预检请求，简化后端服务的CORS配置。
通过这些基础知识的了解，我们可以看到API网关在微服务架构中发挥着至关重要的作用，不仅优化了服务的调用和数据的聚合，还大大增强了系统的安全性和可观测性。正确配置和使用API网关，对于保障微服务架构的健康运行至关重要。
7.3.2 重点案例：集成 Spring Cloud Gateway
Spring Cloud Gateway提供了一个简单而强大的方式来构建API网关，它与Spring生态系统无缝集成，支持动态路由、过滤和安全性配置。下面的案例将指导你如何在Spring Boot应用中集成Spring Cloud Gateway，实现API网关的基本功能。
案例 Demo
步骤 1: 创建Spring Boot项目并引入依赖
首先，确保你的pom.xml文件中包含了Spring Cloud Gateway的依赖：
<dependencies> <dependency> <groupId>org.springframework.cloud</groupId> <artifactId>spring-cloud-starter-gateway</artifactId> <version>YOUR_SPRING_CLOUD_VERSION</version> </dependency> </dependencies> <dependencyManagement> <dependencies> <dependency> <groupId>org.springframework.cloud</groupId> <artifactId>spring-cloud-dependencies</artifactId> <version>YOUR_SPRING_CLOUD_VERSION</version> <type>pom</type> <scope>import</scope> </dependency> </dependencies> </dependencyManagement>
请替换YOUR_SPRING_CLOUD_VERSION为当前Spring Cloud的版本，比如Hoxton.SR9。
步骤 2: 配置路由规则
在application.yml文件中配置路由规则，将不同的请求路径路由到对应的微服务：
spring: cloud: gateway: routes: - id: user-service uri: lb://USER-SERVICE predicates: - Path=/user/** filters: - StripPrefix=1 - id: product-service uri: lb://PRODUCT-SERVICE predicates: - Path=/product/** filters: - StripPrefix=1
这里使用lb://表示使用Spring Cloud的负载均衡，StripPrefix=1过滤器用于移除请求路径中的第一部分。
步骤 3: 添加全局过滤器进行请求日志记录
创建一个全局过滤器GlobalLoggingFilter来记录每个请求的详细信息：
import org.slf4j.Logger; import org.slf4j.LoggerFactory; import org.springframework.cloud.gateway.filter.GlobalFilter; import org.springframework.core.Ordered; import org.springframework.stereotype.Component; import reactor.core.publisher.Mono; @Component public class GlobalLoggingFilter implements GlobalFilter, Ordered { private final Logger logger = LoggerFactory.getLogger(GlobalLoggingFilter.class); @Override public Mono<Void> filter(ServerWebExchange exchange, GatewayFilterChain chain) { logger.info("Original request path: {}", exchange.getRequest().getPath()); return chain.filter(exchange) .then(Mono.fromRunnable(() -> logger.info("Response status code: {}", exchange.getResponse().getStatusCode()))); } @Override public int getOrder() { return -1; // 设置过滤器顺序 } }
步骤 4: 配置安全性和跨域（可选）
如果需要，在API网关层面配置安全性和CORS支持：
import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import org.springframework.web.cors.CorsConfiguration; import org.springframework.web.cors.reactive.CorsWebFilter; import org.springframework.web.cors.reactive.UrlBasedCorsConfigurationSource; import org.springframework.web.util.pattern.PathPatternParser; @Configuration public class GatewayConfig { @Bean public CorsWebFilter corsWebFilter() { CorsConfiguration config = new CorsConfiguration(); config.addAllowedMethod("*"); config.addAllowedOrigin("*"); config.addAllowedHeader("*"); UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource(new PathPatternParser()); source.registerCorsConfiguration("/**", config); return new CorsWebFilter(source); } }
通过这些步骤，你已经成功地在Spring Boot项目中集成了Spring Cloud Gateway，配置了路由规则，添加了全局日志记录过滤器，并可选地配置了安全性和CORS支持。Spring Cloud Gateway作为API网关，不仅提高了微服务架构的灵活性和可维护性，也加强了整个系统的安全性。
7.3.3 拓展案例 1：限流策略
在面对高流量的情况下，限流是保护微服务不被过度使用、避免系统崩溃的关键策略。Spring Cloud Gateway提供了内置的限流功能，可以通过配置轻松实现。以下案例将展示如何在Spring Cloud Gateway中配置限流策略。
案例 Demo
步骤 1: 引入Redis依赖
首先，确保你的项目中包含了Redis的依赖，因为Spring Cloud Gateway的限流特性默认是基于Redis实现的。
<dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-data-redis-reactive</artifactId> </dependency>
步骤 2: 配置限流规则
在application.yml文件中，配置限流规则。你可以根据需要定义不同的限流条件，如IP地址、用户ID等。以下示例展示了如何基于请求路径和IP地址进行限流：
spring: cloud: gateway: routes: - id: user-service uri: lb://USER-SERVICE predicates: - Path=/user/** filters: - name: RequestRateLimiter args: key-resolver: "#{@ipKeyResolver}" redis-rate-limiter.replenishRate: 5 redis-rate-limiter.burstCapacity: 10
这里的replenishRate表示每秒允许的请求数，burstCapacity表示在短时间内允许的最大请求数。
步骤 3: 实现KeyResolver
创建一个Bean来定义如何解析限流的key。在这个例子中，我们根据客户端IP地址进行限流：
import org.springframework.cloud.gateway.filter.ratelimit.KeyResolver; import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import org.springframework.web.server.ServerWebExchange; import reactor.core.publisher.Mono; @Configuration public class RateLimiterConfig { @Bean KeyResolver ipKeyResolver() { return new KeyResolver() { @Override public Mono<String> resolve(ServerWebExchange exchange) { return Mono.just(exchange.getRequest().getRemoteAddress().getAddress().getHostAddress()); } }; } }
步骤 4: 测试限流策略
启动项目，并向配置了限流规则的服务发送请求。如果请求速率超过了配置的replenishRate和burstCapacity，则会收到HTTP 429 Too Many Requests错误响应。
通过这些步骤，你可以在Spring Cloud Gateway中配置灵活的限流策略，有效防止服务被过度请求，保护系统稳定运行。这种基于Redis的限流机制不仅实现简单，而且支持高并发处理，非常适合微服务架构中的流量管理需求。
7.3.4 拓展案例 2：使用 JWT 进行身份验证
在微服务架构中，通过JWT（JSON Web Tokens）进行身份验证可以有效地管理和验证用户和服务的身份。JWT为服务间的安全通信提供了一种简便的方式。在这个案例中，我们将展示如何在Spring Cloud Gateway中集成JWT进行身份验证。
案例 Demo
步骤 1: 引入 JWT 依赖
首先，确保你的Spring Boot项目中包含JWT处理库的依赖。这里我们使用jjwt库作为示例：
<dependency> <groupId>io.jsonwebtoken</groupId> <artifactId>jjwt</artifactId> <version>0.9.1</version> </dependency>
步骤 2: 实现JWT验证过滤器
在API网关中创建一个自定义的全局过滤器，用于解析和验证每个请求中的JWT令牌。如果令牌无效，则拒绝访问。
import io.jsonwebtoken.Claims; import io.jsonwebtoken.Jwts; import io.jsonwebtoken.SignatureException; import org.springframework.beans.factory.annotation.Value; import org.springframework.cloud.gateway.filter.GatewayFilterChain; import org.springframework.cloud.gateway.filter.GlobalFilter; import org.springframework.core.Ordered; import org.springframework.http.HttpStatus; import org.springframework.stereotype.Component; import org.springframework.web.server.ServerWebExchange; import reactor.core.publisher.Mono; @Component public class JwtAuthenticationFilter implements GlobalFilter, Ordered { @Value("${jwt.secret}") private String secretKey; @Override public Mono<Void> filter(ServerWebExchange exchange, GatewayFilterChain chain) { String token = exchange.getRequest().getHeaders().getFirst("Authorization"); if (token == null || !token.startsWith("Bearer ")) { exchange.getResponse().setStatusCode(HttpStatus.UNAUTHORIZED); return exchange.getResponse().setComplete(); } try { token = token.substring(7); // Remove Bearer prefix Claims claims = Jwts.parser() .setSigningKey(secretKey) .parseClaimsJws(token) .getBody(); // Optionally, further verification logic here } catch (SignatureException e) { exchange.getResponse().setStatusCode(HttpStatus.UNAUTHORIZED); return exchange.getResponse().setComplete(); } return chain.filter(exchange); } @Override public int getOrder() { return -100; } }
步骤 3: 配置应用密钥
在application.properties或application.yml中配置JWT的密钥：
jwt.secret=YourSecretKeyHere
请确保这个密钥与生成JWT时使用的密钥相匹配。
步骤 4: 测试JWT身份验证
现在，当你通过API网关访问微服务时，需要在HTTP请求的Header中附加有效的JWT令牌。可以使用Postman或其他HTTP客户端工具来测试这一功能。如果没有提供令牌或令牌无效，网关将拒绝访问并返回HTTP状态码401 Unauthorized。
通过上述步骤，Spring Cloud Gateway现在能够利用JWT令牌进行身份验证，从而为微服务架构中的安全通信提供了一层额外的保护。这种方法不仅保障了API的安全性，还提高了系统的可扩展性和维护性。
