Spring MVC系列（一）: 利用切面编程进行加密

最近在做基于Oauth2.0协议的认证系统，整体认证流程已经完成，但是Oauth2.0需要HTTPS配合，否则会有安全隐患。由于没有HTTPS证书，所以只有自己进行数据加密。利用切面编程可以在不改变原有模块的情况下加入加密功能，与原有模块解耦。

问题描述

以一个常见的场景举例。

  • 客户端传个服务器一个用户ID和token值，服务器验证token并根据ID返回数据
  • 传来的token参数已经加密，服务器要根据用户ID查出AES密钥，进行解密，再验证token，并把返回信息加密。

基本功能

使用Spring MVC构建这个简单的接口。

UserController类

使用@Controller注解声明控制器。@RequestMapping注解映射地址。@Autowired注解自动注入UserService对象，执行业务逻辑。@RequestParam注解绑定参数。

@Controller
@RequestMapping(value = "/user")
public class UserController {
    
    @Autowired
    @Qualifier("userService")
    private UserService userService;
    
    
    @RequestMapping(value="/message",method=RequestMethod.GET)
    public @ResponseBody UserModel message(@RequestParam("id") String id,@RequestParam("token") String token){
        return userService.message(id,token);
    }
}

UserService类

@Service注解声明服务类。从UserDao中查到用户信息并返回。

@Service("userService")
public class UserService {
    @Autowired
    @Qualifier("userDao")
    private UserDao userDao;
    
    public UserModel message(String id,String token){
        
        /*验证token......*/
        return userDao.getUserById(id);
    }
}

UserDao类

@Repository注解声明仓库类。此处模拟一个数据返回。（Spring MVC 提供的JDBC工具类还是不错的）

@Repository("userDao")
public class UserDao {

    public UserModel getUserById(String id){
        UserModel user=new UserModel();
        user.setUserName("MagicWolf");
        user.setEmail("dai.dongliang@foxmail.com");
        return user;
    }
}

UserModel类

一个简单的POJO对象

public class UserModel{
    private String userName;
    private String email;
    public String getUserName() {
        return userName;
    }
    public void setUserName(String userName) {
        this.userName = userName;
    }
    public String getEmail() {
        return email;
    }
    public void setEmail(String email) {
        this.email = email;
    }
}

web.xml

配置Spring MVC。此处简化了些配置，没有使用模块化配置。

<?xml version="1.0" encoding="UTF-8"?>
<web-app xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xmlns="http://java.sun.com/xml/ns/javaee"
    xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_3_0.xsd"
    id="WebApp_ID" version="3.0">
    <!--字符过滤器-->
    <filter>
        <filter-name>CharacterEncodingFilter</filter-name>
        <filter-class>org.springframework.web.filter.CharacterEncodingFilter</filter-class>
        <init-param>
            <param-name>encoding</param-name>
            <param-value>utf-8</param-value>
        </init-param>
    </filter>
    <filter-mapping>
        <filter-name>CharacterEncodingFilter</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>
            
    <!-- spring 前端控制器 -->
    <servlet>
        <servlet-name>WebTest</servlet-name>
        <servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class>
        <load-on-startup>1</load-on-startup>
    </servlet>
    <servlet-mapping>
        <servlet-name>WebTest</servlet-name>
        <url-pattern>/</url-pattern>
    </servlet-mapping>

</web-app>

WebTest-Servlet.xml

Spring配置

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans"
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:p="http://www.springframework.org/schema/p"
    xmlns:mvc="http://www.springframework.org/schema/mvc" xmlns:context="http://www.springframework.org/schema/context"
    xmlns:aop="http://www.springframework.org/schema/aop"
    xsi:schemaLocation="
        http://www.springframework.org/schema/beans
        http://www.springframework.org/schema/beans/spring-beans.xsd
        http://www.springframework.org/schema/aop
        http://www.springframework.org/schema/aop/spring-aop.xsd
        http://www.springframework.org/schema/mvc
        http://www.springframework.org/schema/mvc/spring-mvc.xsd
        http://www.springframework.org/schema/context
        http://www.springframework.org/schema/context/spring-context.xsd">

    <!-- 注册注解驱动特性 -->
    <mvc:annotation-driven />  
    <!-- 开启注解装配 -->
    <context:annotation-config />
    <!-- 扫描注解 -->
    <context:component-scan base-package="com.magicwolf" />       
    <!-- 内容视图解析器 -->
    <bean class="org.springframework.web.servlet.view.ContentNegotiatingViewResolver">
        <property name="mediaTypes">
            <map>
                <entry key="json" value="application/json" />
            </map>
        </property>
        <property name="defaultContentType" value="application/json" />
    </bean>
    <!-- 视图解析器 -->
    <bean class="org.springframework.web.servlet.view.InternalResourceViewResolver">
        <property name="prefix" value="/WEB-INF/jsp/" />
        <property name="suffix" value=".jsp" />
    </bean>
</beans>

测试

在浏览器输入http://localhost:8080/WebTest/user/message?id=123&token=123
可以看到返回了用户信息，基本功能完成。

返回值

{
userName: "MagicWolf",
email: "dai.dongliang@foxmail.com"
}

解密/加密功能

方案一：过滤器+拦截器

  • Spring MVC中有拦截器可以在处理方法执行前拦截，其实内部也是用的切面编程。
  • 由于`HttpServletRequest``没有提供改变请求参数的接口，所以需要包装一下，使用自己的Request。

HttpRequestWapperFilter类

在doFilter方法中，使用自己的包装类替换HttpServletRequest

public class HttpRequestWapperFilter implements Filter{
    @Override
    public void destroy() {}
    @Override
    public void init(FilterConfig arg0) throws ServletException {}

    @Override
    public void doFilter(ServletRequest request, ServletResponse response,
            FilterChain chain) throws IOException, ServletException {
        request=new HttpRequestWapper((HttpServletRequest)request);
        chain.doFilter(request, response);
    }
}

HttpRequestWapper类

  • 继承HttpServletRequestWrapper。
  • Spring MVC在绑定参数过程中使用getParameterValues方法，所以我们重写这个方法。
  • 增加一个私有属性key表示加密密钥。
  • 如果不怕麻烦完全可以在这一步从request中得到ID参数，然后写JDBC操作查到用户密钥进行解密。但是我想在Spring中使用之前写好的数据库操作类UserDao，所以把查密钥这一步放到了拦截器中。
class HttpRequestWapper extends HttpServletRequestWrapper{
    private String key;
    public HttpRequestWapper(HttpServletRequest request) {
        super(request);
    }

    @Override
    public String[] getParameterValues(String name) {
        String[] strs=super.getParameterValues(name);
        if(name.equals("id")){
            for(int i=0;i<strs.length;i++)
                strs[i]=AESCodec.decrypt(strs[i], key);//AES解密
        }
        return strs;
    }
    public void setKey(String key) {
        this.key = key;
    }
}

UserMessageInterceptor类

在拦截器里可以方便的使用SPring注入UserDao。在preHandle方法中设置key的值

public class UserMessageInterceptor extends HandlerInterceptorAdapter{
    @Autowired
    @Qualifier("userDao")
    private UserDao userDao;
    
    @Override
    public boolean preHandle(HttpServletRequest request,
            HttpServletResponse response, Object handler) throws Exception {
        String key=userDao.getAESKeyByUserId(request.getParameter("id"));
        ((HttpRequestWapper)request).setKey(key);
        return true;
    }
}

web.xml

在配置文件中加入包装类的过滤器

    <filter>
       <filter-name>HttpWapperFilter</filter-name>
       <filter-class>com.magicwolf.HttpRequestWapperFilter</filter-class>
    </filter>
    <filter-mapping>
       <filter-name>HttpWapperFilter</filter-name>
    <url-pattern>/*</url-pattern>
    </filter-mapping>

WebTest-Servlet.xml

加入拦截器配置

<mvc:interceptors>    
   <mvc:interceptor>    
       <mvc:mapping path="/user/**" />  
       <bean class="com.magicwolf.UserMessageInterceptor"></bean>    
   </mvc:interceptor>  
</mvc:interceptors>

测试

  • 在浏览器输入http://localhost:8080/WebTest/user/message?id=123&token=0lCQPVTc8WCNP2FxocbC7Q==
  • 此时token值已经经过加密，在控制器message方法中打印token参数，可以成功打印出123

返回信息加密

返回信息的加密原理上跟解密一样，而且本文重点也不在这，所以这里就简单说一下思路。

  • 包装HttpServletResponse对象，添加一个toByteArray()方法返回输出缓冲区的内容
  • 在过滤器中先调用doFilter执行请求，之后使用toByteArray()方法得到缓冲区字节，在进行加密。

方案二：切面编程

使用了Spring的AOP后，解决这个问题就变的轻松加愉快了。关于AOP这里就不做详细描述了。

AESAspect类

声明切面。

  • @Component注解用于声明组件。
  • @Aspect注解用于声明切面。
  • @Pointcut注解声明切点，括号里是切点表达式，这里定位到UserService类的message方法
  • @Around声明是环绕通知方法
@Component("AESAspect")
@Aspect
public class AESAspect {

    @Autowired
    @Qualifier("userDao")
    private UserDao userDao;

    @Pointcut("execution(* com.magicwolf.UserService.message(..))")
    public void messagePointcut() {}

    @Around("messagePointcut()")
    public UserModel messagePointcut(ProceedingJoinPoint point) throws Throwable {
        Object[] args = point.getArgs();
        String id = (String) args[0];
        String key = userDao.getAESKeyByUserId(id);
        AESCodec.decrypt((String) args[1], key);
        // 执行
        UserModel result = (UserModel) point.proceed(args);
        // 返回值加密
        result.encrypt(key);
        // 返回结果
        return result;
    }
}

UserModel类

在UserModel中添加一个加密成员变量的方法

public void encrypt(String key){
    this.userName=AESCodec.encrypt(userName, key);
    this.email=AESCodec.encrypt(email, key);
}

WebTest-servlet.xml

更改代理方式，使用cglib代理来替换JDK代理。

<aop:aspectj-autoproxy proxy-target-class="true" />

测试

在浏览器中输入http://localhost:8080/WebTest/user/message?id=123&token=0lCQPVTc8WCNP2FxocbC7Q==

返回值

此时返回值已经加密

{
userName: "U/6CJMzF1IRV/HpEjDJPEQ==",
email: "kQAV7t4611RYADmDC69odyQmES+MXv+p4OmYMC8fSoU="
}

总结

  • 通过两种方法的对比可以看到，使用切面编程，模块间耦合程度很低，架构清晰，易于实现。
  • 但是这仅仅是一个小小的测试，如果项目规模扩大，想要织入一个功能就需要经过精心的设计，从何处切入，切点如何组织都是需要考虑的。如果没设计好，切面部位或许将成为一个重灾区（认证系统里的加密切面就显得有些凌乱，庞杂，但我也不知道该如何优化）
  • 还有个小问题，拦截器里应该是可以直接对request对象进行包装的，可是我在拦截器里进行包装却没有效果，可能是此处的request对象只是一个拷贝吧。

我的博客:http://www.magicalwolf.com

最后编辑于 ：
©著作权归作者所有,转载或内容合作请联系作者
  • 人面猴
    序言：七十年代末，一起剥皮案震惊了整个滨河市，随后出现的几起案子，更是在滨河造成了极大的恐慌，老刑警刘岩，带你破解...
    沈念sama阅读 203,324评论 5赞 476
  • 死咒
    序言：滨河连续发生了三起死亡事件，死亡现场离奇诡异，居然都是意外死亡，警方通过查阅死者的电脑和手机，发现死者居然都...
    沈念sama阅读 85,303评论 2赞 381
  • 救了他两次的神仙让他今天三更去死
    文/潘晓璐 我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
    开封第一讲书人阅读 150,192评论 0赞 337
  • 道士缉凶录：失踪的卖姜人
    文/不坏的土叔 我叫张陵，是天一观的道长。 经常有香客问我，道长，这世上最难降的妖魔是什么？ 我笑而不...
    开封第一讲书人阅读 54,555评论 1赞 273
  • 港岛之恋（遗憾婚礼）
    正文 为了忘掉前任，我火速办了婚礼，结果婚礼上，老公的妹妹穿的比我还像新娘。我一直安慰自己，他们只是感情好，可当我...
    茶点故事阅读 63,569评论 5赞 365
  • 恶毒庶女顶嫁案：这布局不是一般人想出来的
    文/花漫 我一把揭开白布。 她就那样静静地躺着，像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上，一...
    开封第一讲书人阅读 48,566评论 1赞 281
  • 城市分裂传说
    那天，我揣着相机与录音，去河边找鬼。 笑死，一个胖子当着我的面吹牛，可吹牛的内容都是我干的。 我是一名探鬼主播，决...
    沈念sama阅读 37,927评论 3赞 395
  • 双鸳鸯连环套：你想象不到人心有多黑
    文/苍兰香墨 我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
    开封第一讲书人阅读 36,583评论 0赞 257
  • 万荣杀人案实录
    序言：老挝万荣一对情侣失踪，失踪者是张志新（化名）和其女友刘颖，没想到半个月后，有当地人在树林里发现了一具尸体，经...
    沈念sama阅读 40,827评论 1赞 297
  • 护林员之死
    正文 独居荒郊野岭守林人离奇死亡，尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 35,590评论 2赞 320
  • 白月光启示录
    正文 我和宋清朗相恋三年，在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 37,669评论 1赞 329
  • 活死人
    序言：一个原本活蹦乱跳的男人离奇死亡，死状恐怖，灵堂内的尸体忽然破棺而出，到底是诈尸还是另有隐情，我是刑警宁泽，带...
    沈念sama阅读 33,365评论 4赞 318
  • 日本核电站爆炸内幕
    正文 年R本政府宣布，位于F岛的核电站，受9级特大地震影响，放射性物质发生泄漏。R本人自食恶果不足惜，却给世界环境...
    茶点故事阅读 38,941评论 3赞 307
  • 男人毒药：我在死后第九天来索命
    文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹，春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 29,928评论 0赞 19
  • 一桩弑父案，背后竟有这般阴谋
    文/苍兰香墨 我抬头看了看天上的太阳。三九已至，却和暖如春，着一层夹袄步出监牢的瞬间，已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 31,159评论 1赞 259
  • 情欲美人皮
    我被黑心中介骗来泰国打工， 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留，地道东北人。 一个月前我还...
    沈念sama阅读 42,880评论 2赞 349
  • 代替公主和亲
    正文 我出身青楼，却偏偏与公主长得像，于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子，可洞房花烛夜当晚...
    茶点故事阅读 42,399评论 2赞 342

推荐阅读更多精彩内容

  • Spring Cloud
    Spring Cloud为开发人员提供了快速构建分布式系统中一些常见模式的工具（例如配置管理，服务发现，断路器，智...
    卡卡罗2017阅读 134,580评论 18赞 139
  • Spring boot参考指南
    Spring Boot 参考指南 介绍 转载自:https://www.gitbook.com/book/qbgb...
    毛宇鹏阅读 46,724评论 6赞 342
  • 【Spring实战】面向切面编程
    本章内容： 面向切面编程的基本原理 通过POJO创建切面 使用@AspectJ注解 为AspectJ切面注入依赖 ...
    谢随安阅读 3,122评论 0赞 9
  • 喜欢牛仔的妞们，看过来
    文/大曦 喜欢牛仔却苦于只有几条牛仔裤配来配去，是不是很尴尬，看看潮人们都是怎样妙用用牛仔的 标配版的潮人牛仔，潇...
    曦ka阅读 403评论 0赞 0
  • 爹
    当我读朱自清先生的《背影》，我哭了；当我读汪曾祺先生的《多年父子成兄弟》，我也哭了；当我写这些话的时候，我...
    木成文子阅读 386评论 0赞 0