如何在Spring Boot web应用程序中保护REST API？

Question

我有两个Spring Boot Web应用程序。两个应用程序都有不同的数据库和不同的用户集。此外，两个应用程序都使用Spring Security进行身份验证和授权，这可以正常工作。

在任何给定点上，我都将运行第一个应用程序的一个实例和第二个web应用程序的多个实例。

我想公开来自第一个Web应用程序（一个实例运行）的REST API，并能够使用来自第二个Web应用程序（多个实例运行）的REST API。

如何确保RESTAPI可以通过适当的身份验证安全访问，并且只能通过第二个应用程序的实例访问。

Answer 1

我们使用的解决方案是使用OAuth2 client\u凭据工作流来保护这两者。这就是OAuth2流，在该流中，客户端代表自己而不是调用用户请求令牌。

查看Spring Cloud Security

1） 使用EnableResourceServer保护您的服务

@SpringBootApplication
@EnableResourceServer
public class Application ...

2）使用OAuth2RestTemboard从一个服务调用另一个服务

签出中的资源服务器令牌中继http://cloud.spring.io/spring-cloud-security/spring-cloud-security.html它将指定如何配置Oauth2RestTemplate，以将安全上下文详细信息（令牌）从一个服务转发到另一个服务。

3）服务A和服务B应该能够使用这些技术进行通信，如果它们使用相同的OAuth2 Client和Secret进行配置。这将在应用程序的application.properties文件中进行配置，希望由环境注入。OAuth2 Scopes可以用作角色标识符。因此，您可以说只有具有Scopes（api-read、api-write）的客户端才能访问服务A中的endpointA。这可以使用Spring Security的Authoration配置以及@EnableGlobalMethod odSecurity进行配置

Answer 2

如果您认真考虑安全方面，基于SSL的身份验证可能是一种选择。

假设您通过App 1公开的REST API是通过HTTP，那么您可以将App 1配置为在客户端尝试访问此REST API（由App 1公开）时要求他们提供SSL/TLS证书。

这将帮助我们确定该客户端确实是来自app 2的客户端。

另外两分钱：
如果您的App 1 REST API调用需要负载平衡，您应该选择NGINX。基于SSL客户端证书的身份验证可以卸载到NGINX，您的Spring boot应用程序不再需要担心SSL相关的配置。

Answer 3

如果您可以更改安全性，我建议您使用OAUTH2。基本上，它会生成一个令牌，用于APP2实例中进行API调用。你可以在这里看到更多。

https://spring.io/guides/tutorials/spring-boot-oauth2/

http://websystique.com/spring-security/secure-spring-rest-api-using-oauth2/

但如果您无法更改应用程序的安全性，则可以继续使用当前模式。在APP1中，您可以为API调用创建一个用户，该用户只能访问API服务。在APP2中，需要存储凭据才能访问APP1。最后，您登录到APP1并使用HTTP客户端调用API，您可以使用Spring RestTemplate或Apache HttpComponents客户端。