微服务微应用的安全测试_微服务之服务调用与安全控制

转载本文需注明出处：微信公众号EAWorld，违者必究。

引言：

近年来，大多数企业IT软件均在向微服务架构转型，由于微服务架构采用了更细粒度的分布式拆分，对于服务调用安全方面的问题更复杂，更需要重视，需要整体的系统化解决方案。本文将分享普元EOS8.0版本的服务调用安全控制方案，希望能够对需要搭建微服务平台的企业和人员能够带来一些启发和帮助。

目录：

一、微服务平台架构简介

二、服务调用场景分析

三、服务发布过程介绍

四、服务消费与认证安全

五、服务访问控制

一、微服务平台架构简介

EOS8 微服务平台功能架构图

普元8月份发布了EOS8微服务平台，上图为功能架构图。平台提供了微服务开发测试、运行容器、公共服务以及管理监控等较为完善的工具套件，用以支撑企业级的It系统微服务架构落地。

微服务平台运行视图

这是微服务平台的一个简化版的运行视图，比照这张图，我们先一起理解并统一下概念术语，这里的术语解释不一定是业界共识，仅作为今天分享内容上下文中的一个定义对大家理解分享内容来说非常重要。

域：从物理部署角度看，指微服务业务系统的基础运行环境，可以支持多个系统再域内运行监控和管理，即一个域部署一套微服务基础环境即可。从逻辑角度看，域常与业务或组织划分有所关联，可根据实际需求定义。

系统：即传统意义上的业务系统。微服务架构模式下，一个系统包含一个或者多个微服务。

应用：特指拆分后的 “微服务”。微服务架构模式下，系统按业务特点拆分成多个微服务，为避免“服务”这个词的使用混乱，我们这里将系统拆分后的微服务称作“应用”。

服务：特指API，即应用或网关发布和开放的对外接口。

网关：系统服务对外开放的服务门户。网关为客户端提供服务，作为服务出口屏蔽服务端实现。对于服务端来说，网关是所有外部请求的入口，提供安全认证、管理监控和服务编排等增强能力。

二、服务调用场景分析

服务调用场景的简单分解结果

运行视图

结合两图分析，我们推荐的服务调用模式：“跨系统调用走网关，系统内部直接调用”，优缺点分析如下：

跨系统调用走网关，网关作为请求的入口，可以为开发的服务提供很多增强的能力，如安全认证、流控、动态路由等等能力。网关作为系统服务的统一出口，可以屏蔽服务的实现。让客户端使用更简单。

如果跨系统不通过网关的话，类似服务安全控制、流控、降级这部分能力在网关、应用两端均需要重复建设。多种方式融合时，控制会非常混乱。

系统内部通常是一个项目团队，网关通常是不同的团队维护，系统开发期沟通交互多，应用间直接依赖SDK调用相比到网关发布再调用来说更方便。

系统内部调用的服务接口范围通常与给外部系统开放的服务接口范围不一致，如果都通过网关发布，工作量增多、安全控制方面的个性化需求多，管理复杂。

这张运行视图，注重标注出来了几个服务调用场景的关系。

①：表示用户通过系统前端UI访问后端应用的服务

②：表示系统内部，多个后端应用之间的服务调用

③：表示跨系统调用。由于空间有限，每个域只画了一个系统，所以图中所示的跨系统调用同时也跨了域。如果是域内跨系统服务调用，则需要调用本域网关发布的服务

④：表示与内部的网关，将外部请求路由到域内应用的服务调用

服务调用的过程中一定会存在服务提供者和消费者两个角色，划分如下：

“应用”既提供服务又消费服务，所以兼有两个角色很好理解。

“用户”通常是IT系统的使用者自然划入消费者角色。

“网关”比较特殊，在服务调用过程中，主要任务是中介。由于系统必须通过网关才能向外提供服务，且此时网关在中介的基础上又会提供一些重要的增值能力如流控、路由、监控等，因此我们也把网关划入服务提供者角色。而对于真正的服务提供者“应用”来说，他会收到网关路由过来的服务调用请求，那么从这个角度，网关也可以算是带点消费者的特点，算半个消费者。

服务的调用过程即服务发布与消费的过程，一次调用通常也被称作“交易”，而信任是交易完成的前提，因此服务提供者和消费者之间需要建立信任。在我们的服务调用场景中，建立信任实际就是服务提供者对消费者的身份进行认证，认证通过后即成功建立信任，进一步需要进行鉴权，让交易在一个可信可控的范围内进行。

那么在上述这四个服务调用的场景中，均需要做服务安全认证与鉴权。

认证：目标是检查消费者是否可信，一般可以由提供者自己检查或委托第三方认证中心检查。

1、用户认证，使用“用户令牌”检查用户是否登录

2、系统内服务调用认证，使用“应用令牌”检查是否本系统应用

3、跨系统服务调用认证，使用“API令牌”检查是否已经订阅过服务

4、可信网关认证，使用“网关令牌”检查请求是否来自本域的网关

鉴权：目标是对可信任的消费者的权限范围进行检查和控制

1、网关检查应用可访问的API范围，并进行流控、路由等控制

2、应用检查用户功能权限，数据权限

其中①属于用户认证，用户认证在之前的统一认证中心中已经做过详细介绍，本文就不再讲解。后续内容我们主要对②③④几个部分的服务调用与安全控制方案进行说明。

三、服务发布过程介绍

面向系统内部发布服务:

对系统内发布，指将服务开放给系统内其他应用访问

基于Spring MVC能力发布RESTful服务接口映射

基于Feign封装后的SDK提供给其他应用做服务调用依赖

基于Swagger设计API Doc

面向系统外部发布服务:

对系统外发布，指通过API Gateway 将已发布的RESTful API 向外部系统开放

发布时支持API分组

发布时支持API流控、路由等控制策略设置

介绍系统内部服务发布之前，先来看一下我们推荐的后端应用的设计方案

后端应用设计

对于系统内后端应用的设计，推荐以下几个设计原则：

1、服务设计与服务实现解耦

2、应用API设计先行，内部模块Lib化

3、系统内应用之间服务调用，采用SDK依赖RPC调用模式

基于上述原则，后端应用项目结构推荐如下：

系统内服务发布

基于后端应用的设计原则，服务规格均需要在API模块进行定义，平台支持向导或手工两种方式通过注解发布服务，使用到的组件和注解简要说明如下：

Spring MVC 注解：主要用来定义RESTFul 服务的URI映射关系。常用注解包含：@RequestMapping @GetMapping @PostMapping @PutMapping @DeleteMapping @PatchMapping @PathVariable @RequestParam @RequestBody等等

Tarest注解：此注解来自EOS平台的服务发布调用模块Tarest ，作用是对服务发布和消费SDK进行定义。结合Feign框架提供远程模拟本地调用的SDK，以及结合Coframe框架做用户访问权限控制。服务发布时使用的注解有两个@TarestService @TarestOperation。 服务发布成功后，可以通过管理平台应用查看应用已发布服务列表

Swagger注解：用来定义服务的规格并生成接口文档。常用注解包含：@Api @ApiOperation，基于Swagger规范的服务规格文件除了用来生成文档之外，一个更重要的作用就是可以在服务编排中使用，对于一个RESTFul 接口来说，规格文件就相当于 WebService接口的WSDL文件一样重要

系统内服务发布：示例代码

@RequestMapping("/say-hello")

@TarestService(group="group1",version="v1",name="SayHelloService")

@Api(value="com.eos.consumer.app.api.ISampleAppHello")

public interface ISampleAppHello {

@GetMapping

@TarestOperation(name="sayHello")

@ApiOperation(value="sayhello",nickname="Hello World !")

String sayHello();

@GetMapping("/{user}")

@TarestOperation(name="sayHelloToUser")

@ApiOperation(value="sayHelloToUser", nickname="Hello {user} !")

String sayHello(@PathVariable("user") String user);

}

(左右滑动可查阅全部)

上述接口设计代码示例中，使用了由Spring、Swagger以及EOS提供的三类注解，来自不同框架解决不同问题的三部分注解目前看上去比较繁琐且容易出错，因此EOS平台会提供接口设计的向导工具，用以生成上述的接口代码和服务规格Swagger文件，尽量避免纯手工编写，提升应用开发效率。

系统外服务发布：动态路由、精准路由两种发布模式

动态路由发布

不指定具体的API，基于Base URL模糊匹配的方式发布服务

优点是统一控制权限，可动态增加路由，操作简单方便

缺点是无法获取明确的服务列表，控制策略影响范围大

精准路由发布

精确到一个具体API的Method，逐个发布

优点是可以精确控制权限，可提供明确的服务列表

缺点是新增发布时，权限、分组、服务策略等均需定义

动态路由发布服务是绝大部分网关均需要支持的能力,通常适合批量服务穿透式向外发布的场景。

另外一些特殊的场景下比如，需要协议、报文转换或者权限特殊控制的服务来说，就需要更细粒度的服务发布能力。

我们在动态路由的基础之上，实现了API的更细粒度的控制和路由策略绑定。

系统外服务发布：精确发布示例

通过网关向系统外部发布接口，可配置请求、响应方式以及报文转换规则

四、服务消费与认证安全

服务消费的方案

系统内应用间服务直接调用

采用SDK依赖，类RPC方式调用其他应用的服务， EOS平台采用了基于Feign的实现方式

系统内应用间调用互信，采用对称加解密请求令牌方式实现

跨系统服务调用必须经过网关中转

网关是系统向外提供服务的渠道，也是接收外部服务请求的入口。需要为系统提供认证、流控、路由、监控等相关服务治理能力

消费者需要先订阅目标网关上开放的服务才能调用，网关需要对消费者进行身份认证。EOS 8 中API 网关自行颁发API令牌并自带认证能力

服务提供者与当前域的网关之间也需要有身份识别，确保安全可靠。EOS 8 平台采用非对称加密证书请求令牌方式实现网关与系统的互信

系统内服务消费

1、依赖SDK

2、声明服务消费

@TarestClient(name="sample-app",path="",fallback=SampleAppServiceClientFallback.class)

public interface ISampleAppServiceClient extends ISampleAppHello {}

(左右滑动可查阅全部)

3、类本地方式调用服务

@RestController

public class ServiceDemo implements ITestServiceDemo{

@Autowired

ISampleAppServiceClient client ;//自动注入TarestClient注解声明的消费服务

@Override

public String invokeDemo(String user) {

return client.sayHello(user);

}

}

(左右滑动可查阅全部)

服务消费声明的过程除了上述示例中的编写代码注解声明之外，还可以通过开发工具向导进行服务消费配置化声明。

系统内服务认证：如何识别本系统内部的其他应用？

系统内服务认证

应用端需配置本系统的内部认证秘钥，采用对称加解密的方式，发送和验证“应用令牌”

跨系统服务认证与消费：消费者订阅服务，网关识别消费者身份

消费者从网关订阅服务，消费服务时需要带”API 令牌”:访问网关服务

网关检查消费者请求的令牌是否合法以及API范围是否超限

消费网关发布的服务：HTTP头中带API令牌示例代码

public class GatewayServiceConsumeDemo {

public static void main(String[] args) {

RestTemplate restTemplate = new RestTemplate();

UserInfo user = new UserInfo();

user.setUsername("tiger");

user.setNickname("Tiger");

RequestEntity