第三方接口拦截模拟之请求转发

对于第三方接口比如淘宝sdk、facebook sdk，如果有时候不希望访问真实的远端请求，或者远端的沙盒请求不符合真实的场景，不能满足测试要求，就需要自己模拟第三方的接口响应。

本篇介绍的是一种拦截模拟的实践方案，仅供参考。

1、将sdk发出的请求转发到自己的服务中，采用了javahost

<dependency>
    <groupId>io.leopard</groupId>
    <artifactId>javahost</artifactId>
    <version>0.9.12</version>
</dependency>

2、facebook的接口使用的是https的请求，这就需要自己的服务支持https；这里的服务架构使用的是springboot的springmvc

  首先产生对应的秘钥：

keytool -genkey -alias tomcat -storetype PKCS12 -keyalg RSA -keysize 2048 -keystore keystore.p12 -validity 3650

接着在代码中做如下配置：
application.yml

server:
  port: 8443
  ssl:
    key-store: classpath:keystore.p12
    key-store-password: guzy123
    key-store-type: PKCS12
    key-alias: tomcat
    enabled: true

import org.apache.catalina.Context;
import org.apache.catalina.connector.Connector;
import org.apache.tomcat.util.descriptor.web.SecurityCollection;
import org.apache.tomcat.util.descriptor.web.SecurityConstraint;
import org.springframework.boot.context.embedded.EmbeddedServletContainerFactory;
import org.springframework.boot.context.embedded.tomcat.TomcatEmbeddedServletContainerFactory;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.AsyncSupportConfigurer;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurerAdapter;

/**
 * ssl 的配置
 */
@Configuration
public class ProxyConfig extends WebMvcConfigurerAdapter {

    @Override
    public void configureAsyncSupport(AsyncSupportConfigurer configurer) {
        super.configureAsyncSupport(configurer);
        configurer.setDefaultTimeout(600*1000L);
    }

    @Bean
    public EmbeddedServletContainerFactory servletContainer() {
        TomcatEmbeddedServletContainerFactory tomcat = new TomcatEmbeddedServletContainerFactory() {
            @Override
            protected void postProcessContext(Context context) {
                SecurityConstraint constraint = new SecurityConstraint();
                constraint.setUserConstraint("CONFIDENTIAL");
                SecurityCollection collection = new SecurityCollection();
                collection.addPattern("/*");
                constraint.addCollection(collection);
                context.addConstraint(constraint);
            }
        };
        tomcat.addAdditionalTomcatConnectors(httpConnector());
        return tomcat;
    }


    public Connector httpConnector() {
        Connector connector = new Connector("org.apache.coyote.http11.Http11NioProtocol");
        connector.setScheme("http");
        //Connector监听的http的端口号
        connector.setPort(8080);
        connector.setSecure(false);
        //监听到http的端口号后转向到的https的端口号
        connector.setRedirectPort(8443);
        return connector;
    }
}

然后导出秘钥文件，供调用方用
keytool -export -alias tomcat -keystore keystore.p12 -storepass guzy123 -file clientcert.crt
最后在调用方（使用facebook sdk的应用）所在的机器上对该地址对应的https进行信任
keytool -import -keystore $JAVA_HOME/jre/lib/security/cacerts -file clientcert.crt -alias tomcat

3、https接口一般是443端口，要转发到我们的proxy应用端口上，因为应用一般没有该端口的访问权限。比如我们这边从443转发到8443这个端口上。

我们通过iptables来实现这个转发：

iptables -t filter -A FORWARD -p tcp -m tcp --dport 443 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp -m tcp --dport 443 -j REDIRECT --to-ports 8443
iptables -t nat -A OUTPUT -d 127.0.0.1 -p tcp -m tcp --dport 443 -j DNAT --to-destination 127.0.0.1:8443
iptables -t nat -A OUTPUT -d 172.31.1.45/32 -p tcp -m tcp --dport 443 -j DNAT --to-destination 127.0.0.1:8443

第一、三条用于本地端口转发，第二、四条用于其他机器的请求端口转发

如果在mac上做443到8443的转发：

echo "rdr pass inet proto tcp from any to any port 443 -> 127.0.0.1 port 8443" | sudo pfctl -ef -
sudo pfctl -s nat