Spring boot REST API只接受来自前端的调用

Question

我是Spring boot rest api的新手。

我有以下几种情况：

1. 密钥斗篷已安装并配置用于身份验证
2. Spring Boot微服务
3. 角前端

Angular通过Spring Cloud gateway调用微服务。

我设计了自己的登录页面，它使用KeyClope进行身份验证并获取令牌。很好。

是否有任何方法允许使用未注册用户的通用令牌仅从Angular调用微服务？

为什么我想要这个，是为了保护微服务不被直接从邮递员等任何其他工具访问。

任何指导/提示将不胜感激。

非常感谢

Answer 1

通过浏览器从角应用程序到后端微服务的调用可以很容易地使用curl、POSTMAN、http pie等工具来执行。我们无法阻止这一点。

即使您认为，在不向未注册用户提供凭据的情况下获取令牌，并使用该令牌向特定API调用后台微服务，也可以解决这个问题。任何人都可以很容易地以未注册用户的身份从浏览器中获取令牌，并使用该令牌从POSTMAN、curl等工具拨打电话。所以我们无法阻止来自这些工具的呼叫

您所能做的就是通过使用CORS、API-节流来减轻攻击

Answer 2

我希望你想让未注册用户访问某些页面。假设任何用户都可以访问登录页面和登录终点，即使他们尚未注册。在这种情况下，我们通常不需要任何令牌机制，相反，你可以有一个IP限制机制，如果用户在X分钟内访问网页N次，就会在Y分钟内阻止该IP。这通常是用来防止ddos攻击的。

没有办法完全阻止邮递员的访问，因为邮递员可以通过添加某些标题或其他参数来模拟任何浏览器请求，即使您为未注册用户准备了一些令牌。