smiley-http-proxy-servlet 实现springboot 接口反向代理，站点代理，项目鉴权，安全的引入第三方项目服务

本文链接：https://blog.csdn.net/dzqxwzoe/article/details/136495261

开源代码

2023-11-15SmileSayBoot 开源，项目内扩展
实现了动态代理，可代理API接口/站点，若对你有用，请点个☆star 谢谢，能力有限，不喜勿喷。
在这里插入图片描述

背景：
项目初期
和硬件集成，实现了些功能服务，由于是局域网环境，安全问题当时都可以最小化无视。随着对接的服务越来越多，部分功能上云，此时就需要有一种手段可以控制到其他项目/接口的访问权限。
无疑反向代理是最轻快的解决办法。

反向代理集成第三方的服务接口或web监控界面，并与项目实现的鉴权方法

依赖 [smiley-http-proxy-servlet GitHub链接](https://github.com/mitre/HTTP-

Proxy-Servlet)

  2.0 版开始，代理切换到jakarta servlet-api
  <!--HTTP 代理 Servlet-->
   <dependency>
       <groupId>org.mitre.dsmiley.httpproxy</groupId>
       <artifactId>smiley-http-proxy-servlet</artifactId>
       <version>2.0</version>
	</dependency>

javax servlet-api 请选择

<dependency>
    <groupId>org.mitre.dsmiley.httpproxy</groupId>
    <artifactId>smiley-http-proxy-servlet</artifactId>
    <version>${smiley-http-proxy-servlet.version}</version>
    <classifier>javax</classifier>
</dependency>

仅仅是代理接口默认官网示例使用即可，参考第二个接口代理。

以Nginx 代理Grafana监控平台为例，解决静态资源加载失败、访问鉴权、及websocket连接问题

import org.mitre.dsmiley.httpproxy.ProxyServlet;
import org.springframework.boot.web.servlet.FilterRegistrationBean;
import org.springframework.boot.web.servlet.ServletRegistrationBean;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.filter.HiddenHttpMethodFilter;

/**
 * 本地代理服务
 *
 * @author Smile
 */
@Configuration
public class ProxyServletConfig {


	/**
	* 代理Grafana 监控平台
	*/	
    @Bean
    public ServletRegistrationBean<ProxyServlet> servletRegistrationBean() {
        ServletRegistrationBean<ProxyServlet> servletRegistrationBean = new ServletRegistrationBean<>(new ProxyServlet(), "/grafana/*");
        servletRegistrationBean.addInitParameter(ProxyServlet.P_TARGET_URI, "http://127.0.0.1:9999");
        servletRegistrationBean.addInitParameter(ProxyServlet.P_LOG, "true");
//       自动处理重定向
        servletRegistrationBean.addInitParameter(ProxyServlet.P_HANDLEREDIRECTS, "false");
//      保持 COOKIES 不变
        servletRegistrationBean.addInitParameter(ProxyServlet.P_PRESERVECOOKIES, "true");
//       Set-Cookie 服务器响应标头中保持 cookie 路径不变
        servletRegistrationBean.addInitParameter(ProxyServlet.P_PRESERVECOOKIEPATH, "true");
//        保持 HOST 参数不变
        servletRegistrationBean.addInitParameter(ProxyServlet.P_PRESERVEHOST, "true");
        return servletRegistrationBean;
    }

	/**
	*接口代理
	*/
    @Bean
    public ServletRegistrationBean<ProxyServlet> servletRegistration() {
        ServletRegistrationBean<ProxyServlet> servletRegistrationBean = new ServletRegistrationBean<>(new ProxyServlet(), "/one/*","/two/*","three/*");
        servletRegistrationBean.addInitParameter(ProxyServlet.P_TARGET_URI, "http://localhost:8001/api");
        servletRegistrationBean.addInitParameter(ProxyServlet.P_LOG, "true");
        return servletRegistrationBean;
    }


    /**
     * 禁用springboot 自带的 HiddenHttpMethodFilter 防止post提交的form数据流被提前消费
     * <p>
     * fix springboot中使用proxyservlet的 bug.
     * <a href="https://github.com/mitre/HTTP-Proxy-Servlet/issues/83">bugs</a>
     * <a href="https://stackoverflow.com/questions/8522568/why-is-httpservletrequest-inputstream-empty">bugs</a>
     *
     * @return 
     */
    @Bean
    public FilterRegistrationBean<HiddenHttpMethodFilter> disableHiddenHttpMethodFilter() {
        FilterRegistrationBean<HiddenHttpMethodFilter> registrationBean = new FilterRegistrationBean<>();
        registrationBean.setFilter(new HiddenHttpMethodFilter());
        registrationBean.setEnabled(false); // 禁用过滤器
        return registrationBean;
    }
}

直接访问grafana代理 springboot项目端口8088报错，静态资源路径不正确加载失败，grafana live/ws链接也会失败，参考附录。

在这里插入图片描述
解决办法：
1.修改对应前端项目，使其都通过代理路径。
2.可以新建项目，ProxyServlet使用 /*路径匹配规则。
3.如果这两种都不适合，那么变动最少的方案，使用nginx反向代理到ProxyServlet的代理路径上。这样做会增加一些性能损耗，但是换来了，前端项目无需更改，后端可增加接口鉴权，某些时候是值得的。

nginx配置参考：

 server {
            listen       8889;
            server_name  localhost;
			
			# grafana websocket地址代理
            location /api/live/ws {
                 proxy_http_version 1.1;
                 proxy_set_header Upgrade $http_upgrade;
                 proxy_set_header Connection "Upgrade";
                 proxy_set_header X-real-ip $remote_addr;
                 proxy_set_header X-Forwarded-For $remote_addr;
                 proxy_pass http://127.0.0.1:9999;
            }

            location / {
                #add_header Access-Control-Allow-Origin *;
                add_header Access-Control-Max-Age 1728000;
                add_header Access-Control-Allow-Methods 'POST,GET,OPTIONS,DELETE,PUT,HEAD,PATCH';
                add_header Access-Control-Allow-Headers 'satoken,DNT,X-Mx-ReqToken,Keep-Alive,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type';
                add_header Access-Control-Allow-Origin $http_origin;
                client_max_body_size 10m;

                if ($request_method = 'OPTIONS') {
                    return 204;
                }
			  	# grafana支持配置apikey 免登录访问
                set $auth 'Bearer eyJrIjoiN1pKYlk5akFDZWNoMlVSUEN1YllXdm0yd2VYN2RzZFIiLCJuIjoiYWRtaW5rZXkiLCJpZCI6MX0=';
               # apiKey设置到header grafana免密访问
                proxy_set_header Authorization $auth;

                proxy_pass http://127.0.0.1:8088/grafana//;

                proxy_set_header Host $host;
                proxy_set_header X-Real-IP $remote_addr;
                proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
                proxy_set_header X-Forwarded-Proto $scheme;
                proxy_connect_timeout 600;
                proxy_read_timeout 600;
            }


      }

划重点

springboot 代理的/grafana/* 到 http://127.0.0.1:9999
静态资源的访问失败 404或错误的返回html首页，是因为路径不符合此规则导致代理是失败

proxy_pass http://127.0.0.1:8088/grafana//;
由nginx代理到 // 则问题解决，使 /grafana/* 代理规则生效

其他访问的服务调用 nginx的这个代理

ok.
在这里插入图片描述
再看后端日志代理已正常

更安全的访问

只需要限制原服务端口的放行规则，如仅本机可访问，然后项目增加过滤器自行判断权限。

启动类添加@ServletComponentScan扫描WebFilter，增加 Filter

import cn.dev33.satoken.stp.StpUtil;
import jakarta.servlet.*;
import jakarta.servlet.annotation.WebFilter;
import jakarta.servlet.http.HttpServletResponse;
import org.springframework.core.annotation.Order;

import java.io.IOException;
/**
 * 过滤器
 *
 * @author Smile
 */
@Order(1)
@WebFilter(filterName = "grafanaFilter", urlPatterns = "/grafana/*")
public class ProxyGrafanaFilter implements Filter {

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
        Filter.super.init(filterConfig);
    }

    @Override
    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
    	//自行 实现条件判断即可
        if (StpUtil.isLogin()) {
            // 用户已登录，继续执行过滤器链
            filterChain.doFilter(servletRequest, servletResponse);
        } else {
            // 用户未登录，可以返回错误信息或重定向到登录页面
            // 例如，返回 HTTP 401 未授权状态
            HttpServletResponse httpResponse = (HttpServletResponse) servletResponse;
            httpResponse.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
        }
    }

    @Override
    public void destroy() {
        Filter.super.destroy();
    }
}

未登录则：
在这里插入图片描述

``收工~~

附：
grafana websocket 可能需要修改custom.ini配置

# allowed_origins is a comma-separated list of origins that can establish connection with Grafana Live.
# If not set then origin will be matched over root_url. Supports wildcard symbol "*".

allowed_origins=*
或
allowed_origins = http://127.0.0.1:8889

接下来我将给各位同学划分一张学习计划表！

学习计划

那么问题又来了，作为萌新小白，我应该先学什么，再学什么？
既然你都问的这么直白了，我就告诉你，零基础应该从什么开始学起：

阶段一：初级网络安全工程师

接下来我将给大家安排一个为期1个月的网络安全初级计划，当你学完后，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web渗透、安全服务、安全分析等岗位；其中，如果你等保模块学的好，还可以从事等保工程师。

综合薪资区间6k~15k

1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（1周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（1周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（1周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

那么，到此为止，已经耗时1个月左右。你已经成功成为了一名“脚本小子”。那么你还想接着往下探索吗？

阶段二：中级or高级网络安全工程师（看自己能力）

综合薪资区间15k~30k

7、脚本编程学习（4周）
在网络安全领域。是否具备编程能力是“脚本小子”和真正网络安全工程师的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力。

零基础入门的同学，我建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习
搭建开发环境和选择IDE，PHP环境推荐Wamp和XAMPP，IDE强烈推荐Sublime；

Python编程学习，学习内容包含：语法、正则、文件、网络、多线程等常用库，推荐《Python核心编程》，没必要看完

用Python编写漏洞的exp,然后写一个简单的网络爬虫

PHP基本语法学习并书写一个简单的博客系统

熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)

了解Bootstrap的布局或者CSS。