新姿势,Spring Boot 接口加解密!

于 2023-04-23 09:00:00 发布
阅读量219 收藏 1
点赞数 1
分类专栏： 程序员 文章标签： spring boot java spring 设计模式 开发语言
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2301_76936922/article/details/130308357
版权

  • 1. 介绍

  • 2. 前置知识

    • 2.1 hutool-crypto加密解密工具

    • 2.2 request流只能读取一次的问题

    • 2.3 SpringBoot的参数校验validation

    • 2.4 自定义starter

    • 2.5 RequestBodyAdvice和ResponseBodyAdvice

  • 3. 功能介绍

  • 4. 功能细节

  • 5. 代码实现

    • 5.1 项目结构

    • 5.2 crypto-common

    • 5.3 crypto-spring-boot-starter

    • 5.4 crypto-test


1. 介绍  

在我们日常的Java开发中，频繁地需要与其他系统进行业务交互，或者进行微服务之间的接口调用。为了确保数据传输的安全，我们需要对接口的出参进行加密，入参进行解密。然而，为了避免重复编写代码，我们可以提供一个通用starter，其中包含了通用的加密和解密功能。除此之外，我们还可以对该starter进行进一步的优化，比如增加对HTTP请求的拦截和处理、加入其他安全机制等，以更好地保护我们的系统和数据安全。 

2. 前置知识

2.1 hutool-crypto加密解密工具

hutool-crypto提供了很多加密解密工具，包括对称加密，非对称加密，摘要加密等等，这不做详细介绍。

2.2 request流只能读取一次的问题

2.2.1 问题：

在接口调用链中，request的请求流只能调用一次，处理之后，如果之后还需要用到请求流获取数据，就会发现数据为空。

比如使用了filter或者aop在接口处理之前，获取了request中的数据，对参数进行了校验，那么之后就不能在获取request请求流了

2.2.2 解决办法

继承HttpServletRequestWrapper，将请求中的流copy一份，复写getInputStream和getReader方法供外部使用。每次调用后的getInputStream方法都是从复制出来的二进制数组中进行获取，这个二进制数组在对象存在期间一致存在。

使用Filter过滤器，在一开始，替换request为自己定义的可以多次读取流的request。

这样就实现了流的重复获取

InputStreamHttpServletRequestWrapper

 

HttpServletRequestInputStreamFilter 

2.3 SpringBoot的参数校验validation

为了减少接口中，业务代码之前的大量冗余的参数校验代码

SpringBoot-validation提供了优雅的参数校验，入参都是实体类，在实体类字段上加上对应注解，就可以在进入方法之前，进行参数校验，如果参数错误，会抛出错误BindException，是不会进入方法的。

这种方法，必须要求在接口参数上加注解@Validated或者是@Valid

但是很多清空下，我们希望在代码中调用某个实体类的校验功能，所以需要如下工具类

ParamException

 

ValidationUtils 

2.4 自定义starter

自定义starter步骤

  • 创建工厂，编写功能代码

  • 声明自动配置类，把需要对外提供的对象创建好，通过配置类统一向外暴露

  • 在resource目录下准备一个名为spring/spring.factories的文件，以org.springframework.boot.autoconfigure.EnableAutoConfiguration为key，自动配置类为value列表，进行注册

2.5 RequestBodyAdvice和ResponseBodyAdvice

  • RequestBodyAdvice是对请求的json串进行处理， 一般使用环境是处理接口参数的自动解密

  • ResponseBodyAdvice是对请求相应的jsoin传进行处理，一般用于相应结果的加密

 

3. 功能介绍

接口相应数据的时候，返回的是加密之后的数据 接口入参的时候，接收的是解密之后的数据，但是在进入接口之前，会自动解密，取得对应的数据

4. 功能细节

加密解密使用对称加密的AES算法，使用hutool-crypto模块进行实现

所有的实体类提取一个公共父类，包含属性时间戳，用于加密数据返回之后的实效性，如果超过60分钟，那么其他接口将不进行处理。

如果接口加了加密注解EncryptionAnnotation，并且返回统一的json数据Result类，则自动对数据进行加密。如果是继承了统一父类RequestBase的数据，自动注入时间戳，确保数据的时效性

如果接口加了解密注解DecryptionAnnotation，并且参数使用RequestBody注解标注，传入json使用统一格式RequestData类，并且内容是继承了包含时间长的父类RequestBase，则自动解密，并且转为对应的数据类型

功能提供Springboot的starter，实现开箱即用

5. 代码实现

https://gitee.com/springboot-hlh/spring-boot-csdn/tree/master/09-spring-boot-interface-crypto

5.1 项目结构

 

5.2 crypto-common

5.2.1 结构

 

5.3 crypto-spring-boot-starter

5.3.1 接口

 

5.3.2 重要代码

crypto.properties AES需要的参数配置

 

spring.factories 自动配置文件 
 

CryptConfig AES需要的配置参数 
 

AppConfig 自动配置类 
 

DecryptRequestBodyAdvice 请求自动解密 
 

EncryptResponseBodyAdvice 相应自动加密 
 

5.4 crypto-test
 

5.4.1 结构
 

 
 

5.4.2 重要代码
 

application.yml 配置文件
 

Teacher 实体类 
 

TestController 测试Controller 
 

 
 

 
 

 
 

 
 

 
 

 
 

 
 

 

                

        

        

        

    




    

      

        

            

              
                
                  永钊源码
                
              
            

            

                关注
              
            

        

        

          
    
            
  • 
              
                
                
                
                
                    1
                
              
              
    点赞
    
            
    • 
            
  • 
              
                
                
                
              
              
    踩
    
            
    • 
            
  • 
              
                
                
                
                
                    1
                
              
              
    
                
    
                  
                    收藏
                  
                
    
              
    
              
    
                
    
                  觉得还不错?
                  
                    一键收藏
                  
                 
                
    
              
    
            
    • 
                
  • 
                  
                    打赏
                    
                  
                  
    打赏
    
                
    • 
          
  • 
            
    
              
              
            
    
              
              
              
                  2
              
            
            
    评论
    
          
    • 
          
  • 
          
    • 
          
  • 
            
              
            
              
    
            
              
                
            
    
          
    • 
        

      

      

            

                专栏目录
          










                



	

		

			

				
					
如何保证API接口数据安全？

				
			

			

				

					liinux-Talk is cheap,show me the code.
				

				

					01-31
					
					2162
					
				

			

		

		

			
				
前言

前后端分离的开发方式，我们以接口为标准来进行推动，定义好接口，各自开发自己的功能，最后进行联调整合。无论是开发原生的APP还是webapp还是PC端的软件,只要是前后端分离的模式，就避免不了调用后端提供的接口来进行业务交互。

网页或者app，只要抓下包就可以清楚的知道这个请求获取到的数据，这样的接口对爬虫工程师来说是一种福音，要抓你的数据简直轻而易举。

数据的安全性非常重要，特别是用户相关的信息，稍有不慎就会被不法分子盗用，所以我们对这块要非常重视，容不得马虎。

如何保证API调用时数据的安全

			
		

	



                

              
                



	

		

			

				
					
spring-boot-starter-encrypt:spring boot数据传输加密工具jar包开源代码，可自行调整

				
			

			

				

					03-23
				

			

		

		

			
				
spring-boot-starter-encrypt
 spring boot数据传输加密工具jar包开源代码，可自行调整
使用步骤
打包进入工程根目录下执行maven命令：mvn clean package -Dmaven.test.skip = true
通过启动example工程：SpringBootStarterEncryptExampleApplication
浏览器访问页面： 
获取数据按钮：无前端入参，重新返回加密数据发送数据按钮：前端json提交加密参数，扩展解析并返回加密出参

			
		

	



                


  
              

                


	

		

			

				
					
spring-boot-starter-crypt:SpringBoot请求统一加解密

				
			

			

				

					05-11
				

			

		

		

			
				
spring-boot-starter-crypt
SpringBoot请求统一加解密
使用aes对称加密方式对于传输报文data进行整体加解密
使用rsa对aes 的加密key进行加密
ras公私钥动态获取：在客户端每次启动重新获取公私钥

			
		

	





	

		

			

				
					
springbboot加密打包_Spring Boot 配置 Security 密码加密

				
			

			

				

					weixin_42516657的博客
				

				

					01-17
					
					273
					
				

			

		

		

			
				
依赖org.springframework.bootspring-boot-starter-security注入bean@SpringBootApplicationpublic class UserApplication {public static void main(String[] args) {SpringApplication.run(UserApplication.class, arg...

			
		

	



		

			
		



	

		

			

				
					
SpringBoot 接口加密解密，新姿势！

				
			

			

				

					weixin_45727359的博客
				

				

					12-12
					
					171
					
				

			

		

		

			
				
来源：网络1.介绍2.前置知识2.1 hutool-crypto加密解密工具2.2 request流只能读取一次的问题2.3 SpringBoot的参数校验validation2.4 自定义starter2.5 RequestBodyAdvice和ResponseBodyAdvice3.功能介绍4.功能细节5.代码实现5.1 项目结构5.2 crypto-common5.3 crypto-spri...

			
		

	





	

		

			

				
					
SpringBoot实现接口数据的加解密功能

				
			

			

				

					08-25
				

			

		

		

			
				
SpringBoot实现接口数据的加解密功能可以使用自定义消息转换器或使用Spring提供的接口RequestBodyAdvice和ResponseBodyAdvice两种方式实现，前者简单易用，但不灵活，后者可以按照请求的特定需要进行加密解密操作。

			
		

	





	

		

			

				
					
Spring Boot 实现配置文件加解密原理

				
			

			

				

					08-19
				

			

		

		

			
				
Spring Boot 实现配置文件加解密原理是通过 EnvironmentPostProcessor 接口实现的，该接口允许在应用程序之前操作环境属性值。通过实现 EnvironmentPostProcessor 接口，可以对 Spring Boot 应用程序的配置文件进行...

			
		

	





	

		

			

				
					
Spring Boot 在启动时进行配置文件加解密

				
			

			

				

					08-19
				

			

		

		

			
				
Spring Boot 在启动时进行配置文件加解密是通过 ConfigFileApplicationListener 来实现的，该监听器继承了 SmartApplicationListener 接口，并实现了对 application.yml 文件的读取操作。在读取操作完成后，它会触发...

			
		

	





	

		

			

				
					
spring-boot-features-demo:Spring Boot太棒了！

				
			

			

				

					05-15
				

			

		

		

			
				
Spring Boot 1.x版本特性展示项目简介是Spring开源社区提供的一个去容器、去XML配置的应用框架。和标准的基于war包的Web应用相比，Spring Boot应用可以直接以java -jar的方式运行，也就是说不再需要部署到一个独立的...

			
		

	





	

		

			

				
					
Spring boot配置文件加解密详解

				
			

			

				

					08-26
				

			

		

		

			
				
主要给大家介绍了关于Spring boot配置文件加解密的相关资料，文中通过示例代码以及图文介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面来一起学习学习吧

			
		

	





	

		

			

				
					
spring-security-crypto-3.1.3.RELEASE.jar

				
			

			

				

					09-13
				

			

		

		

			
				
spring 加密技术所需的JAR包.
http://grepcode.com/snapshot/repo1.maven.org/maven2/org.springframework.security/spring-security-crypto/3.1.3.RELEASE

			
		

	





	

		

			

				
					
Springboot项目如何加密返回值和请求参数

				
			

			

				

					qq_48329942的博客
				

				

					12-02
					
					2767
					
				

			

		

		

			
				
请求参数和返回值加密。今天简单的记录查看该依赖的源码，发现，只有使用依赖自定的res工具类包装返回值，并且他支持加密方式为AES，并不满足我们项目使用SM2的要求，同时，无法自定义加密方式。所以选择根据他的代码进行改造方式为切面编程，难度不大，但是目前有个问题，AES加密 一旦 body数据太大，那么解密时会出现失败的情况，提示长度需要为16的倍数。RSA加密boby太长，需要使用分段解密。同时会造成前端解密后出现乱码的情况。

			
		

	





	

		

			

				
					
Spring Boot 接口加解密，新姿势！

				
			

			

				

					Java技术栈，分享最主流的Java技术
				

				

					04-13
					
					394
					
				

			

		

		

			
				
点击关注公众号，Java干货及时送达学习 Spring Cloud 微服务的正确姿势！用上 ChatGPT啦，强的离谱！博客园在绝境求生。。1. 介绍在我们日常的Java开发中，免不了和其他系统的业务交互，或者微服务之间的接口调用如果我们想保证数据传输的安全，对接口出参加密，入参解密。但是不想写重复代码，我们可以提供一个通用starter，提供通用加密解密功能2. 前置知识2.1 huto...

			
		

	





	

		

			

				
					
springboot接口入参出参实现加密解密

				
			

			

				

					王小白的博客
				

				

					02-20
					
					1579
					
				

			

		

		

			
				
主要使用自定义注解结合springmvc里的RequestBodyAdvice和ResponseBodyAdvice两个类进行实现。RequestBodyAdvice允许针对接口请求体被读取之前进行修改，ResponseBodyAdvice允许接口出参在被返回之前进行修改。

			
		

	





	

		

			

				
					
Java Spring中的三个密码加密库包

				
			

			

				

					m0_69860228的博客
				

				

					05-14
					
					1107
					
				

			

		

		

			
				
每当您需要在应用程序中实现密码哈希或散列时，您应该牢记一些最佳实践。

永远不要自己实现密码哈希算法——改用经过严格审查的开发人员库！密码学是一个复杂的领域，如果你尝试自己实现一个流行的算法，就会出现很多问题。
	随着计算机每年变得越来越强大，密码哈希算法（及其参数）需要调整！现代密码哈希算法依赖于您（作为开发人员）来指定他们在计算哈希时应该使用多少资源，并且随着时间的推移，您将需要更新这些参数。掌握此类情况的唯一方法是紧跟最新的安全新闻和趋势。
在决定如何存储敏感密码时，你应该考虑的第一件事是你是否想自己

			
		

	





	

		

			

				
					
基于 RequestBodyAdvice 与 ResponseBodyAdvice 实现统一加密和解密

				
			

			

				

					天行健，君子以自强不息；地势坤，君子以厚德载物。
				

				

					05-23
					
					546
					
				

			

		

		

			
				
在日常开发中，有时候经常需要和第三方接口打交道，有时候是我方调用别人的第三方接口，有时候是别人在调用我方的第三方接口，那么为了调用接口的安全性，一般都会对传输的数据进行加密操作，如果每个...

			
		

	





	

		

			

				
					
Spring-Boot结合Security+JWT

					
最新发布

				
			

			

				

					09-07
				

			

		

		

			
				
Spring Boot和Spring Security是非常常用的Java框架和库，用于构建安全和可扩展的Web应用程序。JWT（JSON Web Token）是一种用于在网络应用间安全传递身份验证和声明信息的标准。

要在Spring Boot中使用Spring Security和JWT，你需要进行以下步骤：

1. 添加依赖：在你的项目的pom.xml文件中添加Spring Security和JWT的依赖。

```xml
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt</artifactId>
    <version>0.9.1</version>
</dependency>
```

2. 创建JWT工具类：编写一个JWT工具类，用于生成和解析JWT。

```java
import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import org.springframework.security.core.userdetails.UserDetails;

import java.util.Date;
import java.util.HashMap;
import java.util.Map;

public class JwtUtil {
    private static final String SECRET_KEY = "your-secret-key";
    private static final long EXPIRATION_TIME = 864_000_000; // 10 days

    public static String generateToken(UserDetails userDetails) {
        Map<String, Object> claims = new HashMap<>();
        return Jwts.builder()
                .setClaims(claims)
                .setSubject(userDetails.getUsername())
                .setIssuedAt(new Date())
                .setExpiration(new Date(System.currentTimeMillis() + EXPIRATION_TIME))
                .signWith(SignatureAlgorithm.HS512, SECRET_KEY)
                .compact();
    }

    public static String extractUsername(String token) {
        return extractClaims(token).getSubject();
    }

    public static Date extractExpiration(String token) {
        return extractClaims(token).getExpiration();
    }

    private static Claims extractClaims(String token) {
        return Jwts.parser()
                .setSigningKey(SECRET_KEY)
                .parseClaimsJws(token)
                .getBody();
    }
}
```

3. 配置Spring Security：创建一个继承自WebSecurityConfigurerAdapter的配置类，用于配置Spring Security。

```java
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.config.http.SessionCreationPolicy;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.crypto.password.Pbkdf2PasswordEncoder;

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder());
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
                .authorizeRequests()
                .antMatchers("/api/auth/**").permitAll()
                .anyRequest().authenticated()
                .and()
                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new Pbkdf2PasswordEncoder();
    }

    @Override
    @Bean
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }
}
```

4. 创建UserDetails实现类：实现Spring Security的UserDetails接口，用于获取用户信息。

```java
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.userdetails.UserDetails;

import java.util.Collection;
import java.util.List;

public class CustomUserDetails implements UserDetails {
    private String username;
    private String password;

    public CustomUserDetails(String username, String password) {
        this.username = username;
        this.password = password;
    }

    @Override
    public Collection<? extends GrantedAuthority> getAuthorities() {
        return List.of(() -> "ROLE_USER");
    }

    @Override
    public String getPassword() {
        return password;
    }

    @Override
    public String getUsername() {
        return username;
    }

    // Other UserDetails methods...

    @Override
    public boolean isAccountNonExpired() {
        return true;
    }

    @Override
    public boolean isAccountNonLocked() {
        return true;
    }

    @Override
    public boolean isCredentialsNonExpired() {
        return true;
    }

    @Override
    public boolean isEnabled() {
        return true;
    }
}
```

5. 创建认证和授权的Controller：创建一个RestController，用于处理用户认证和授权的请求。

```java
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.http.ResponseEntity;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.web.bind.annotation.*;

@RestController
@RequestMapping("/api/auth")
public class AuthController {
    @Autowired
    private AuthenticationManager authenticationManager;

    @Autowired
    private UserDetailsService userDetailsService;

    @PostMapping("/login")
    public ResponseEntity<String> login(@RequestBody AuthRequest authRequest) {
        authenticationManager.authenticate(
                new UsernamePasswordAuthenticationToken(authRequest.getUsername(), authRequest.getPassword())
        );

        UserDetails userDetails = userDetailsService.loadUserByUsername(authRequest.getUsername());
        String token = JwtUtil.generateToken(userDetails);

        return ResponseEntity.ok(token);
    }
}

class AuthRequest {
    private String username;
    private String password;

    // getters and setters...
}
```

这样，你就可以在Spring Boot应用程序中使用Spring Security和JWT来实现认证和授权了。当用户登录时，会生成一个JWT，并在以后的请求中使用该JWT进行身份验证。

请注意，以上代码只是一个简单的示例，你可能需要根据你的实际需求进行适当的修改和扩展。另外，确保保护敏感信息（如密钥）的安全。

			
		

	



              



  
“相关推荐”对你有帮助么？

  

      
    
          
  • 
              
    
                  
                  
              
    
              
    非常没帮助
    
          
    • 
          
  • 
              
    
                  
                  
              
    
              
    没帮助
    
          
    • 
          
  • 
              
    
                  
                  
              
    
              
    一般
    
          
    • 
          
  • 
              
    
                  
                  
              
    
              
    有帮助
    
          
    • 
          
  • 
              
    
                  
                  
              
    
              
    非常有帮助
    
          
    • 
      

      

      

          
          提交
      

      

  




          




        



    





    



      

      

        
      

      





	

		
评论 2

	

	
	




  

    

      添加红包
      
    

    

      

        
        

          
          
        

        
请填写红包祝福语或标题

      

      

        
        

          
          个
        

        
红包个数最小为10个

      

      

        
        

          
          元
        

        
红包金额最低5元

      

      

        
        

          当前余额3.43元
          前往充值 >
        

      

      

        

          需支付：10.00元
        

        
        
      

    

  





  

    
    
  

  

    
    
  








  

    

      

        

          

            
            
成就一亿技术人!

          

          

        

        

          

          

            领取后你会自动成为博主和红包主的粉丝
            规则
          

        

      

      

        

          

            
              
            
            

              
hope_wisdom
 发出的红包
            

          

        

        

          

          

          

        

      

    

    

  





	
打赏作者

	

		

		
			
		
		

		

			
永钊源码

			
你的鼓励将是我创作的最大动力

		

	

	

			

	

	

    ¥1
    ¥2
    ¥4
    ¥6
    ¥10
    ¥20
	

	

		

			

				

					扫码支付：¥1
				

				

					

					
					获取中
					

				

				

					
					
					扫码支付
				

			

		

		

			
您的余额不足，请更换扫码支付或充值

			
打赏作者

		

	



      
      

      
实付元

      
使用余额支付

      

        

          

            
            点击重新获取
          

        

        
扫码支付

      

      

        
          
            
          
          
        
      

      

        
        钱包余额
          0
          

            
            

              

                
抵扣说明：

                
 1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
 2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

              

            

          

      

      余额充值