应用层安全架构设计-访问控制

• 他是谁？

• 他只能访问给他授予了权限的接口！

• 他不能查看别人的数据！

下面我们以前后端分离的项目为例，解释如何解决这几个目标问题：

他是谁？

在前后端分离项目中，前端用户登录后后端服务会给其颁发一个token，比如我们所熟知的JWT(JSON Web Token)，而后每次前端请求后端接口都会带上这个token。由于JWT上会带有用户信息，此时我们要做的就是校验这个token对应的用户是否为系统合法用户。

他只能访问给他授予了权限的接口！

光知道他是系统的合法用户还是不够，web应用还得保证当前用户只能访问他拥有权限的接口。

比如有个薪资查询的接口，业务上只允许部门领导角色访问。如果系统不做控制，张三知道了薪资查询接口，就拿着自己的token去调用此接口然后就能知道所有员工的薪资了，这种问题我们称之为"越权访问"。

处理这个问题现在应用广泛的一种方法就是“基于角色的访问控制（RBAC：Role-Based Access Control）”，也称“垂直权限管理”。

RBAC事先会在系统中定义出不同的角色，不同的角色拥有不同的权限，一个角色实际上就是一个权限的集合。而系统的所有用户都会被分配到不同的角色中，一个用户可能拥有多个角色。

当用户带着token请求后端服务时，我们还得通过token查询出当前用户所属的角色，然后根据角色查询出用户拥有的所有权限。权限框架 Spring Security 和  Shiro都很好的支持RBAC控制。

他不能查看别人的数据！

张三和李四都是部门领导，他们都可以查询员工薪资的权限。但是他们都只被允许查看自己部门员工的薪资。张三知道了接口调用规则，就可以通过修改调用参数获取李四部门员工的薪资了，这种情况当然也是不被允许的。

在RBAC模型下，系统只会验证用户A是否属于角色RoleX，而不会判断用户A是否能访问只属于用户B的数据DataB，因此发生了越权访问。这种问题我们称之为“水平权限管理问题”。

现在数据级权限管理并没有很通用的解决方案，一般是具体问题具体解决。

简单的做法是给接口请求加上秘钥，通过接口参数+当前系统登录人一起进行加密发送给后端服务，后端接受到请求后对加密内容进行解密，根据约定的规则解析出用户信息并与登录用户进行匹配，匹配上正常访问，匹配不上则拒绝访问。

以上，希望对你有所帮助！

End

干货分享

这里为大家准备了一份小小的礼物，关注公众号，输入如下代码，即可获得百度网盘地址，无套路领取！

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数Java工程师，想要提升技能，往往是自己摸索成长或者是报班学习，但对于培训机构动则几千的学费，着实压力不小。自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年Java开发全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上Java开发知识点，真正体系化！

由于文件比较大，这里只是将部分目录截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且会持续更新！

如果你觉得这些内容对你有帮助，可以扫码获取！！（备注Java获取）

惊喜

最后还准备了一套上面资料对应的面试题（有答案哦）和面试时的高频面试算法题（如果面试准备时间不够，那么集中把这些算法题做完即可，命中率高达85%+）

《一线大厂Java面试题解析+核心总结学习笔记+最新讲解视频+实战项目源码》，点击传送门即可获取！
hMttOu4D-1712435112566)]

《一线大厂Java面试题解析+核心总结学习笔记+最新讲解视频+实战项目源码》，点击传送门即可获取！