Spring Boot 验证码框架 - CAPTCHA

岳昊空

2023-12-01

CAPTCHA

简介

人机识别与验证码是后端开发中保护接口最常见的方式之一，而此类代码往往会与业务代码耦合带来项目可维护性变差。

CAPTCHA 是一个基于 Spring Boot 的验证码框架，它通过 AOP 的方式完成包含验证码生成、发送、存储等验证码相关业务，以避免与业务代码耦合。
开发者可以轻松地通过不同组件的组合来完成验证业务，同时可以进行自定义实现以应对自身的业务需求（例如邮箱验证码、短信验证码）。

代码示例

导入 Maven 依赖

<dependency>
    <groupId>cn.dustlight.captcha</groupId>
    <artifactId>captcha-core</artifactId>
    <version>0.0.6</version>
</dependency>

添加注解启用 CAPTCHA

@SpringBootApplication
@EnableCaptcha // 启用 CAPTCHA
public class DemoApplication {
    public static void main(String[] args) {
        SpringApplication.run(DemoApplication.class, args);
    }
}

使用注解生产验证码

    @RequestMapping("/captcha")
    @SendCode // 生成随机字符图像验证码并发送
    public void captcha(@CodeValue String code) {
        // 在此处进行自定义的业务，验证码的生成、发送与储存已由注解 '@SendCode' 完成。
        log.info(code);
    }

使用注解消费验证码（保护接口）

    @RequestMapping("/")
    @VerifyCode
    public String index(@CodeValue String code) {
        // 在此处进行自定义的业务，验证码的验证以及销毁已由注解 '@VerifyCode' 完成。
        return String.format("Hello World! (%s)", code);
    }

实现原理

CAPTCHA 基于面向切面编程（AOP）思想，将验证码业务划分为两个切面：

@SendCode
1. 生成验证码
2. 储存验证码
3. 发送验证码
@VerifyCode
1. 读取验证码
2. 进行验证

同时将验证码业务抽象为下面几个接口：

Code—— 验证码
CodeGenerator—— 生成器
CodeSender—— 发送器
CodeStore—— 储存器
CodeVerifier—— 验证器

例子

随机字符图像验证码的 AOP 实现

业务分析

客户端访问验证码接口获取到图像，同时后端服务将生成的验证码储存在 Session 或者 Redis。
客户端访问接口（登录、注册等），传入参数以及验证码，后端服务取出验证码进行校验。

模块划分

接口	实现	功能/描述
`Code`	`Code<String>`	字符串型 Code ，内有验证码名、验证码值。（验证码名用于区分不同业务的验证码）
`CodeGenerator`	`RandomStringCodeGenerator`	随机字符串生成，通过参数配置字符池以及长度。
`CodeSender`	`ImageCodeSender`	绘制图像（随机字符、干扰线），输出到 Response。
`CodeStore`	`HttpSessionCodeStore`	基于 Session 对验证码进行储存与取出。
`CodeVerifier`	`StringEqualsCodeVerifier`	字符串比较验证，通过参数配置是否大小写敏感以及是否 trim 。

业务逻辑

@SendCode

通过 CodeGenerator生成 Code。
通过 CodeStore储存 Code。
通过 CodeSender输出 Code。
执行业务代码。

@VerifyCode

从请求参数获取待验证的验证码。
通过 CodeStore取出 Code。
通过 CodeVerify进行验证。
验证完成则执行业务代码，否则抛出异常。

拓展与组合

除了图像验证码（人机识别）以外，常见的验证码业务或者人机识别业务例如：短信验证码、邮箱验证码、谷歌 reCAPTCHA 人机识别等都可以通过实现上述接口来完成业务。

例如，想要使用 Redis 储存验证码只需要通过 RedisTemplate实现 CodeStore即可，再通过模块的组合使用可以轻易地完成自定义的验证码业务，同时又不影响业务代码。

拓展模块

Redis 储存模块

提供基于 Redis 的验证码存储功能。

邮箱验证码发送器

集成邮箱验证码发送功能。

短信验证码发送器（腾讯SMS）

提供基于腾讯云短信服务的验证码发送功能。

谷歌 reCAPTCHA 人机识别

集成谷歌 reCAPTCHA 人机识别服务。