REST API权限集成设计
应用分为两大部分,前端html+后端Rest服务,前端html和后端Rest服务部署完全分离。
目标:可访问资源都处于权限控制之下(意味着通过浏览器地址栏的任意url都会被拦截),并提供跨域访问支持。
***
项目模块
前端模块:应用界面,通过rest接口与后台交互。
后端模块:UPM(用户权限管理)模块+数据服务(包含多种数据来源,比如本地DB、第三方服务等)统一作为Rest封装层。
应用模块权限访问交互流程
Token
- Client和Server交互的令牌,相当于客户端和Server交互的唯一id,绝大部分(登录时不需要)Client请求都会带上此id,和SessionId类似,只是它不必受限于单个Web容器并能够自定义Token的过期时间、生成策略。
- 对于一个独立用户,Server和UPM共用相同的Token。
- Token包含tokenid+userid+其它辅助信息.
UPM
UPM提供对整个应用系统中关于资源和用户角色关系的权限配置,并且对外提供认证和授权的接口。
Token Manager
维护Token生命周期,可配置Token的过期时间,Token Mananger维护一张hash表,k为用户id,v为Token,每次用户请求匹配token时自动检查Token是否过期,如果过期,则返回过期的状态码。
Token指标:Token使用次数、Token过期时间
Token使用次数:如果客户端请求次数大于了Token默认设定请求次数,则需要重新生成Token,但无需重新登录。
Token过期时间:超过Token过期时间的请求将会触发重新登录。
登录权限交互流程
业务流:用户登录(login.html)访问,输入用户名和密码后访问主页(index.html)
登录权限交互流程:
- 用户访问Client静态资源login.html,填写用户名和密码并执行登录
- 用户名和密码被传递到UPM
- UPM执行认证(authentication),校验用户名和密码
- 认证通过后执行授权(authorization),获取和当前用户关联的所有可访问的资源
- 如果上一步执行成功,UPM将请求TokenManager创建Token,若不通过则返回错误码(授权、认证错误码不同)
- UPM将token+授权数据返回给客户端
- 客户端收到token+授权数据展现index.html给用户(index.html可能存在多个模块,需要控制页面展示)
备注:Client端需要处理从UPM端返回的数据,包含Token和状态码,如果状态码不是成功标识,依据具体的状态码转向特定页面,否则登录成功,存储Token(比如存储到Cookie),并跳转到首页。
登录后资源访问
业务流:假定用户进入index.html存在一个rest资源链接,对应rest服务"/audience/report",用于请求最新的人群报告,人群报告展示页面为audience.html
备注:此时用户已登录,Client的Cookie中已存在Token
人群报告权限交互流程:
- 用户点击"人群报告"链接(rest url=/audience/report)
- 客户端发送请求(包含user+rest url+ token)给UPM
- 客户端发送请求(rest url=/audience/report + token)发给Server
- Server匹配token,UPM授权rest url,如果token未过期并且匹配成功并且upm授权成功将调用实际业务处理流获取数据,否则返回错误码
- 将数据和Token信息返回给客户端
- Client依据Server的数据渲染人群报告页面展现给用户
前后端交互备注
- 前端的所有请求,除登入请求之外,其它所有请求都在header中附带用户id(userId)和令牌(tokenId)传递给服务端。
- 任何请求都必须带令牌,若无令牌,直接rest url访问目标资源,则返回登录页。