SpringBoot HandlerInterceptor实战

2023-10-17 16:12
文章标签 java 实战 springboot spring handlerinterceptor

本文主要是介绍SpringBoot HandlerInterceptor实战，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

HandlerInterceptor

  • 1.拦截器介绍
    • 1.1 接口方法说明
      • 1.1.1 preHandle
      • 1.1.2 postHandle
      • 1.1.3 afterCompletion
    • 1.2 基本使用示例
      • 1.2.1 实现自定义拦截器
      • 1.2.2 注册拦截器
  • 2. 实战
    • 2.1 实战一:通过拦截器获取controller的方法注解鉴权
      • 2.1.1 定义权限注解
      • 2.1.2 实现权限拦截器(实现HandlerInterceptor接口)
      • 2.1.3 配置拦截器
      • 2.1.4 controller使用权限注解
    • 2.2 实战二:通过拦截器实现第三方HTTP请求签名
      • 2.2.1 接口签名工具类
      • 2.2.2 实现安全拦截器(实现HandlerInterceptor接口)
      • 2.2.3 注册拦截器
      • 2.2.4 application.yml配置
  • 3. 拓展
    • 3.1拦截器（Interceptor）和过滤器（Filter）的执行顺序和区别
      • 3.1.1 过滤器（Filter）
      • 3.1.2 拦截器（Interceptor）
      • 3.1.3 总结
  • 4. 参考文章

1.拦截器介绍

HandlerInterceptorAdapter 是 Spring MVC 中的拦截器（Interceptor）类，用于拦截请求的处理流程，包括请求的预处理、后处理和渲染视图等操作。它可以用于实现一些全局性的处理逻辑，例如日志记录、权限验证、请求参数预处理等

1.1 接口方法说明

1.1.1 preHandle

预处理回调方法，实现处理器的预处理。可以在这里进行权限验证、请求参数处理等。

  • 返回值：true表示继续流程；false表示流程中断，不会继续调用其他的拦截器或处理器

1.1.2 postHandle

后处理回调方法，实现处理器（controller）的后处理，但在渲染视图之前,此时我们可以通过modelAndView对模型数据进行处理或对视图进行处理

1.1.3 afterCompletion

整个请求处理完毕回调方法，即在视图渲染完毕时回调，如性能监控中我们可以在此记录结束时间并输出消耗时间，还可以进行一些资源清理，类似于try-catch-finally中的finally，但仅调用处理器执行链中

1.2 基本使用示例

1.2.1 实现自定义拦截器

import org.springframework.web.servlet.handler.HandlerInterceptorAdapter;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;public class MyInterceptor extends HandlerInterceptorAdapter {@Overridepublic boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler)throws Exception {// 在请求处理之前执行，可以进行权限验证等操作System.out.println("Pre Handle method is Calling");return true; // 返回true表示继续执行后续操作，返回false将中断请求处理流程}@Overridepublic void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler,org.springframework.web.servlet.ModelAndView modelAndView) throws Exception {// 在请求处理之后、视图渲染之前执行，可以修改数据模型等操作System.out.println("Post Handle method is Calling");}@Overridepublic void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex)throws Exception {// 在整个请求完成之后执行，可以用于清理资源等操作System.out.println("After Completion method is Calling");}
}

在上述示例中，MyInterceptor 继承了 HandlerInterceptorAdapter 类，并重写了其三个方法（preHandle、postHandle 和 afterCompletion）

1.2.2 注册拦截器

import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;@Configuration
public class WebMvcConfig implements WebMvcConfigurer {@Overridepublic void addInterceptors(InterceptorRegistry registry) {registry.addInterceptor(new MyInterceptor()).addPathPatterns("/**");}
}

在上述配置中，addInterceptors 方法中注册了 MyInterceptor 拦截器，并设置了拦截的路径为 “/**”，表示拦截所有请求。你可以根据实际需求修改拦截的路径

2. 实战

2.1 实战一:通过拦截器获取controller的方法注解鉴权

2.1.1 定义权限注解

@Retention(RUNTIME)
@Target(METHOD)
public @interface ApiPermission {String value() default "";//默认为空，因为名字是value，实际操作中可以不写"value="
}

2.1.2 实现权限拦截器(实现HandlerInterceptor接口)

@Component
public class PermissionInterceptor implements HandlerInterceptor {private static final Logger LOGGER = LoggerFactory.getLogger(PermissionInterceptor.class);@Overridepublic boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler)throws Exception {LOGGER.info("进入拦截器");if(handler instanceof HandlerMethod) {HandlerMethod h = (HandlerMethod)handler;ApiPermission apiPermission= h.getMethodAnnotation(ApiPermission.class);if (easyLog != null) {//TODO 判断当前用户是否拥有权限信息response.setStatus(HttpServletResponse.SC_FORBIDDEN);// 创建一个JSON对象JSONObject jsonObject = new JSONObject();jsonObject.put("code", "403");jsonObject.put("message", "用户无权限操作");// 设置响应内容类型为JSON，使用UTF-8编码(不使用中文会乱码)response.setContentType("application/json;charset=UTF-8");response.getWriter().print(jsonObject.toString());return false;}}return HandlerInterceptor.super.preHandle(request, response, handler);}}

获取controller类方法注解: h.getMethod().getDeclaringClass().getAnnotation(ApiPermission.class);

2.1.3 配置拦截器

@Component
public class WebMvcConfig implements WebMvcConfigurer {@Autowiredprivate PermissionInterceptor permissionInterceptor;@Overridepublic void addInterceptors(InterceptorRegistry registry) {registry.addInterceptor(permissionInterceptor).addPathPatterns("/**");;}
}

2.1.4 controller使用权限注解

@Controller
@RequestMapping("/api/user")
public class UserController {@Autowiredprivate UserService userService;@ApiPermission("user:list")@RequestMapping(value = "/list", method=RequestMethod.GET)@ResponseBodypublic ApiResult<PageResult<Page<User>>> listByPage(User user, PageResult pageResult) {Page<User> page = this.userService.findListByPage(user, new Page(pageResult.getPageNum(), pageResult.getPageSize()));return ApiResult.wrapPage(page);}
}

2.2 实战二:通过拦截器实现第三方HTTP请求签名

签名是在Web开发中常用的一种安全验证方式，用于确保请求的来源和完整性

2.2.1 接口签名工具类

方法内部的步骤如下：

  1. 构建待签名字符串 toSign： 将HTTP请求的方法、URI和时间戳拼接成一个字符串。
  2. 初始化MAC算法： 使用HmacSHA256算法（一种基于哈希函数的消息认证码算法）进行签名。在这里，使用Mac类来初始化HmacSHA256算法，传入SecretKeySpec对象作为密钥。
  3. 计算签名： 将待签名字符串 toSign 使用UTF-8编码转换为字节数组，然后通过HMAC-SHA1算法进行计算，生成签名的字节数组。
  4. Base64编码： 将生成的签名字节数组进行Base64编码，得到最终的签名字符串。
  5. 返回签名结果： 返回生成的签名字符串。

最终，该方法返回一个基于给定HTTP请求方法、URI、时间戳和密钥生成的签名字符串。该签名字符串可以用于在服务器端验证请求的合法性，确保请求的来源和完整性，防止恶意请求和数据篡改。

import javax.crypto.Mac;
import javax.crypto.spec.SecretKeySpec;
import java.nio.charset.StandardCharsets;
import java.security.InvalidKeyException;
import java.security.NoSuchAlgorithmException;
import java.util.Base64;/*** 服务认证签名工具类*/
public class ServiceSignUtil {public static final String HMAC_SHA1_ALGORITHM = "HmacSHA1";public static final String HMAC_SHA256_ALGORITHM = "HmacSHA256";// 定义其他算法常量...private ServiceSignUtil() {}/*** 生成服务认证签名** @param httpMethod  HTTP请求方法，例如GET、POST等* @param uri         请求的URI（路径）* @param utc         请求的时间戳（通常是UTC格式的时间戳）* @param secretKey   用于签名的密钥* @param algorithm   签名算法，使用上述定义的常量* @return            返回生成的签名字符串* @throws NoSuchAlgorithmException  如果指定的算法不存在* @throws InvalidKeyException       如果密钥无效*/public static String signature(String httpMethod, String uri, String utc, String secretKey, String algorithm)throws NoSuchAlgorithmException, InvalidKeyException {String toSign = httpMethod + uri + utc;Mac mac = Mac.getInstance(algorithm);mac.init(new SecretKeySpec(secretKey.getBytes(StandardCharsets.UTF_8), algorithm));byte[] signatureBytes = mac.doFinal(toSign.getBytes(StandardCharsets.UTF_8));return Base64.getEncoder().encodeToString(signatureBytes).trim();}
}

2.2.2 实现安全拦截器(实现HandlerInterceptor接口)

public class ApiSecurityInterceptor extends HandlerInterceptorAdapter {private static final Logger LOGGER = LoggerFactory.getLogger(ApiSecurityInterceptor.class);private String accessKey = "ak";private String secretKey = "sk";@Overridepublic boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler)  {String accessId = request.getHeader(RemoteCallConstants.HEADER_ACCESS_ID);String signature = request.getHeader(RemoteCallConstants.HEADER_SIGNATURE);String utc = request.getHeader(RemoteCallConstants.HEADER_TIMESTAMP);// 微服务标识暂时不用//String appService = request.getHeader(RemoteCallConstants.HEADER_APP_SERVICE);// 鉴权信息为空则认为时非法请求if (StringUtils.isBlank(accessId) || StringUtils.isBlank(signature) || StringUtils.isBlank(utc)) {throw new RuntimeException("MessageEnum.ILLEGAL_REQUEST");}DateTime dateTime = DateUtil.parseUTC(utc);// 5分钟内请求有效，超过则认为请求过期if (DateTime.now().between(dateTime).between(DateUnit.MINUTE) >= 5L) {throw new RuntimeException("MessageEnum.REQUEST_HAS_EXPIRED");}// access-key不匹配则为鉴权失败if (!StringUtils.equals(accessKey, accessId)) {throw new RuntimeException("MessageEnum.API_AUTHENTICATION_FAILED");}String uri = request.getServletPath();String httpMethod = request.getMethod();try {String currentSignature = ServiceSignUtil.signature(httpMethod, uri, utc, secretKey, "HmacSHA256");// 签名不一致if (!StringUtils.equals(currentSignature, signature)) {throw new RuntimeException("MessageEnum.API_AUTHENTICATION_FAILED");}} catch (NoSuchAlgorithmException | InvalidKeyException e) {// 签名生成失败throw new RuntimeException("MessageEnum.API_AUTHENTICATION_FAILED");}return true;}public String getAccessKey() {return accessKey;}public void setAccessKey(String accessKey) {this.accessKey = accessKey;}public String getSecretKey() {return secretKey;}public void setSecretKey(String secretKey) {this.secretKey = secretKey;}
}
  • 常量类
public class RemoteCallConstants {public static final String HEADER_ACCESS_ID = "accessId";public static final String HEADER_TIMESTAMP = "timestamp";public static final String HEADER_SIGNATURE = "signature";public static final String QUERY_LANG = "lang";public static final String UTC_TIME_PATTERN = "yyyy-MM-dd'T'HH:mm:ss.SSS'Z'";private RemoteCallConstants() {}
}

2.2.3 注册拦截器

@Configuration
public class InterceptorConfig {private static final Logger LOGGER = LoggerFactory.getLogger(InterceptorConfig.class);@Value("${easy-api.security.path-patterns:/**/api/**}")private String pathPatterns;/*** @ConfigurationProperties的第二种用法@Bean + @ConfigurationProperties* 注意！对应bean中的属性需要setter/getter方法,否则无法注入*/@Bean@ConfigurationProperties(prefix = "easy-api.security")public ApiSecurityInterceptor apiSecurityInterceptor() {return new ApiSecurityInterceptor();}@Beanpublic WebMvcConfigurer apiSecurityInterceptorConfigurer() {LOGGER.info("【easy-mode】@EnableEasyApiSecurity[apiSecurityInterceptor]--拦截:{}", pathPatterns);return new WebMvcConfigurer() {@Overridepublic void addInterceptors(InterceptorRegistry registry) {registry.addInterceptor(apiSecurityInterceptor()).addPathPatterns(pathPatterns);}};}
}

2.2.4 application.yml配置

easy-api:security:access-key: aksecret-key: skpath-patterns: /**

访问接口ak sk及鉴权接口 通过配置文件灵活定义。(这里演示方便就写死, 生产环境一般每个调用方一对)

3. 拓展

3.1拦截器（Interceptor）和过滤器（Filter）的执行顺序和区别

3.1.1 过滤器（Filter）

  • 容器:它依赖于Servlet容器，属于Servlet规范的一部分，而拦截器则是独立存在的，可以在任何情况下使用。
  • 技术:在实现上，基于函数回调。
  • 优缺点:它可以对几乎所有请求进行过滤，但是缺点是一个过滤器实例只能在容器初始化时init一次。
  • 使用过滤器的目的: 是用来做一些过滤操作，获取我们想要获取的数据，比如：在JavaWeb中，对传入的request、response提前过滤掉一些信息，或者提前设置一些参数，然后再传入servlet或者Controller进行业务逻辑操作。
  • 常用的场景是：
    • 过滤: 在过滤器中修改字符编码（CharacterEncodingFilter）、在过滤器中修改HttpServletRequest的一些参数（XSSFilter(自定义过滤器)），如：过滤低俗文字、危险字符等。
    • 身份认证: 服务器提供的资源如果是受保护,在过滤器实现session认证, 比如shiro(权限框架)
    • 请求转发: 改变特定请求路径, 比如SSO的cas的客户端filter, 302转发cas登录页，登录后带ticket参数发起校验并获取用户信息。
    • 日志记录: 结合log4j的MDC记录请求的IP/用户等信息,创建requestId用于请求链路的追踪

3.1.2 拦截器（Interceptor）

  • 容器:依赖于web框架，在SpringMVC中就是依赖于SpringMVC框架
  • 技术:在实现上基于Java的反射机制，属于面向切面编程（AOP）的一种运用。
  • 优缺点:由于拦截器是基于web框架的调用，因此可以使用Spring的依赖注入（DI）进行一些业务操作，同时一个拦截器实例在一个controller生命周期之内可以多次调用。缺点:依赖于web框架
  • 使用拦截器目的: 一般filter会配置在执行web框架之前,控制范围比较大,基本filter能满足大部分需求,拦截器使用一般在filter实现起来不够友好地方。比如获取容器上下文信息
  • 常用的场景是：
    • 权限认证: 通过拦截器的HandlerMethod可以很容易获取controller类或者方法的注解,对于接口的权限控制十分便利。

3.1.3 总结

Interceptor结合容器更"靠近"业务, filter更倾向基础通用的配置。

4. 参考文章

  1. SpringMVC拦截器中获得Controller方法名和注解信息（用于验证权限）
  2. 拦截器（Interceptor）和过滤器（Filter）的执行顺序和区别
  3. 过滤器 和 拦截器 6个区别，别再傻傻分不清了

这篇关于SpringBoot HandlerInterceptor实战的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/226524。

相关文章

springboot健康检查监控全过程

springboot健康检查监控全过程

《springboot健康检查监控全过程》文章介绍了SpringBoot如何使用Actuator和Micrometer进行健康检查和监控,通过配置和自定义健康指示器,开发者可以实时监控应用组件的状态,... 目录1. 引言重要性2. 配置Spring Boot ActuatorSpring Boot Act
阅读更多...
使用Java解析JSON数据并提取特定字段的实现步骤(以提取mailNo为例)

使用Java解析JSON数据并提取特定字段的实现步骤(以提取mailNo为例)

《使用Java解析JSON数据并提取特定字段的实现步骤(以提取mailNo为例)》在现代软件开发中,处理JSON数据是一项非常常见的任务,无论是从API接口获取数据,还是将数据存储为JSON格式,解析... 目录1. 背景介绍1.1 jsON简介1.2 实际案例2. 准备工作2.1 环境搭建2.1.1 添加
阅读更多...
Java实现任务管理器性能网络监控数据的方法详解

Java实现任务管理器性能网络监控数据的方法详解

《Java实现任务管理器性能网络监控数据的方法详解》在现代操作系统中,任务管理器是一个非常重要的工具,用于监控和管理计算机的运行状态,包括CPU使用率、内存占用等,对于开发者和系统管理员来说,了解这些... 目录引言一、背景知识二、准备工作1. Maven依赖2. Gradle依赖三、代码实现四、代码详解五
阅读更多...
java如何分布式锁实现和选型

java如何分布式锁实现和选型

《java如何分布式锁实现和选型》文章介绍了分布式锁的重要性以及在分布式系统中常见的问题和需求,它详细阐述了如何使用分布式锁来确保数据的一致性和系统的高可用性,文章还提供了基于数据库、Redis和Zo... 目录引言：分布式锁的重要性与分布式系统中的常见问题和需求分布式锁的重要性分布式系统中常见的问题和需求
阅读更多...
SpringBoot基于MyBatis-Plus实现Lambda Query查询的示例代码

SpringBoot基于MyBatis-Plus实现Lambda Query查询的示例代码

《SpringBoot基于MyBatis-Plus实现LambdaQuery查询的示例代码》MyBatis-Plus是MyBatis的增强工具,简化了数据库操作,并提高了开发效率,它提供了多种查询方... 目录引言基础环境配置依赖配置（Maven）application.yml 配置表结构设计demo_st
阅读更多...
在Ubuntu上部署SpringBoot应用的操作步骤

在Ubuntu上部署SpringBoot应用的操作步骤

《在Ubuntu上部署SpringBoot应用的操作步骤》随着云计算和容器化技术的普及,Linux服务器已成为部署Web应用程序的主流平台之一,Java作为一种跨平台的编程语言,具有广泛的应用场景,本... 目录一、部署准备二、安装 Java 环境1. 安装 JDK2. 验证 Java 安装三、安装 mys
阅读更多...
Springboot的ThreadPoolTaskScheduler线程池轻松搞定15分钟不操作自动取消订单

Springboot的ThreadPoolTaskScheduler线程池轻松搞定15分钟不操作自动取消订单

《Springboot的ThreadPoolTaskScheduler线程池轻松搞定15分钟不操作自动取消订单》：本文主要介绍Springboot的ThreadPoolTaskScheduler线... 目录ThreadPoolTaskScheduler线程池实现15分钟不操作自动取消订单概要1，创建订单后
阅读更多...
JAVA中整型数组、字符串数组、整型数和字符串 的创建与转换的方法

JAVA中整型数组、字符串数组、整型数和字符串 的创建与转换的方法

《JAVA中整型数组、字符串数组、整型数和字符串的创建与转换的方法》本文介绍了Java中字符串、字符数组和整型数组的创建方法,以及它们之间的转换方法,还详细讲解了字符串中的一些常用方法,如index... 目录一、字符串、字符数组和整型数组的创建1、字符串的创建方法1.1 通过引用字符数组来创建字符串1.2
阅读更多...
SpringCloud集成AlloyDB的示例代码

SpringCloud集成AlloyDB的示例代码

《SpringCloud集成AlloyDB的示例代码》AlloyDB是GoogleCloud提供的一种高度可扩展、强性能的关系型数据库服务,它兼容PostgreSQL,并提供了更快的查询性能... 目录1.AlloyDBjavascript是什么？AlloyDB 的工作原理2.搭建测试环境3.代码工程1.
阅读更多...
Java调用Python代码的几种方法小结

Java调用Python代码的几种方法小结

《Java调用Python代码的几种方法小结》Python语言有丰富的系统管理、数据处理、统计类软件包,因此从java应用中调用Python代码的需求很常见、实用,本文介绍几种方法从java调用Pyt... 目录引言Java core使用ProcessBuilder使用Java脚本引擎总结引言python
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2