Day17_07_SpringCloud教程之Eureka身份认证

浅浅的花香味﹌ 2024-02-19 20:44 15阅读 0赞

## 07\_SpringCloud教程之Eureka身份认证 ##

### 一. 开启Eureka的身份认证 ###

Eureka Server默认是允许匿名访问的,该方式一般无法满足公司在安全性上的诉求.

接下来我们构建一个需要登录才能访问的Eureka Server. **Eureka本身不具备安全认证的能力,Spring Cloud使用Spring Security为Eureka Server进行了增强.**

#### 1. 添加security依赖 ####

在Eureka Server项目中引入Springboot提供的安全认证依赖包包,在服务提供者和消费者代码中不用引入.

<dependency>
       <groupId>org.springframework.boot</groupId>
       <artifactId>spring-boot-starter-security</artifactId>
    </dependency>

#### 2. 配置用户名密码 ####

在application.yml文件中配置相关信息.

server:
      port: 8761
    spring:
      application:
        name: eurka-server
      security: #eureka的身份认证
        user:
          name: admin
          password: 123
    
    eureka:
      server:
        enable-self-preservation: true #关闭自我保护机制
        eviction-interval-timer-in-ms: 5000 #(代表是5秒,单位是毫秒,清理失效服务的间隔)
      instance:
        hostname: localhost
        #调整自我保护机制的参数
        lease-renewal-interval-in-seconds: 1
        lease-expiration-duration-in-seconds: 2
      client:
        registerWithEureka: false
        fetchRegistry: false
        serviceUrl:
          #defaultZone: http://${eureka.instance.hostname}:${server.port}/eureka/
          defaultZone: http://admin:123@localhost:8761/eureka/

**如果不设置用户名密码这段内容,则默认用户名是user,密码是一个随机值,该值会在启动时打印出来.**

**并且将Eureka Server中的 `eureka.client.service-url.defaultZone` 修改为为`http://{user}:{password}@EUREKA_HOST:EUREKA_PORT/eureka/`的形式**.

eureka:
      client:
        service-url:
          defaultZone: http://admin:123@localhost:8761/eureka/

如图所示:  
![Image 1][]![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3N5YzAwMDY2Ng_size_16_color_FFFFFF_t_70][]

#### 3. 编写安全配置类代码 ####

package com.syc.cloud.config;
    
    import org.springframework.security.config.annotation.web.builders.HttpSecurity;
    import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
    import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
    
    /**
     * Spring Cloud Finchley及更高版本,必须添加如下代码以用来部分关闭掉Spring Security
     * 的CSRF保护功能,否则应用无法正常注册.
     * Spring Cloud Finchley及更高版本必须添加这一段,在Edgware以及更早的版本中无需这一步骤.
     */
    @EnableWebSecurity
    public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    
        @Override
        protected void configure(HttpSecurity http) throws Exception {
            //忽略掉/eureka/相关接口的安全拦截
            http.csrf()
                    .ignoringAntMatchers("/eureka/**");
            super.configure(http);
        }
    
    }

Spring Cloud Finchley及更高版本必须添加这一段,在Edgware以及更早的版本中无需这一步骤.

#### 4. 启动Eureka Server ####

![Image 1][]![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3N5YzAwMDY2Ng_size_16_color_FFFFFF_t_70 1][]

#### 5. Eureka Client端 ####

接下来需要改造Eureka Client项目模块.我们需要将`eureka.client.service-url.defaultZone` 配置为`http://{user}:{password}@EUREKA_HOST:EUREKA_PORT/eureka/`的形式.

eureka:
      client:
        serviceUrl:
          defaultZone: http://admin:123@localhost:8761/eureka/

### 二. Eureka的数据权限 ###

实际项目中,出于安全考虑,往往还需实现数据权限.

#### 1. 举个例子 ####

*  团队1维护微服务A、B、C;
 *  团队2维护微服务D、E、F.

#### 2. 从安全的角度,我们希望: ####

*  团队1中的开发人员只能操作微服务A、B、C在Eureka Server上的信息;
 *  团队1中的开发人员只能访问其他团队授权给该团队的微服务的信息(例如团队2将微服务D授权给微服务A访问).

#### 3. 此时该怎么办呢? ####

一般Eureka Server上都没有什么操作,在整个Eureka Server的界面上,一般只有查看的能力!

如果只是查看,自然没有安全问题,但是要知道Eureka Server是有RESTful API的.举个例子,我们可以发送DELETE请求到`http://{username}:{password}@EUREKA_HOST:EUREKA_PORT/eureka/apps/{appId}/{instanceID}`,即可下线服务.如果线上微服务被恶意下线,那后果是不堪设想的.

**Spring Cloud的原生Eureka Server并未提供这一功能,只能由开发人员基于Spring Security或其他权限框架自行扩展.**

这个扩展的成本还是比较高的,于是目前业界大多企业都放弃了扩展,转而采用管理手段防止无数据权限带来的风险.例如在生产环境中:

*  1️⃣. 将Eureka Server的账号密码管控起来,只有核心成员才知晓;
 *  2️⃣. 然后在配置中心把账号密码等敏感数据进行加密存储.
 *  3️⃣. 将Eureka Server部署在一个隔离的网络中,外人无法直接访问到Eureka Server首页,必须借助跳板机等工具才能访问.

但不管怎么样,以上方式都会增加运维成本,同时也会带来不少沟通问题.

#### 4. 所以一般体验最好、最直观、最完美的做法如下: ####

*  1️⃣. 有完备的数据权限机制;
 *  2️⃣. 开发人员在一个Dashboard上可以查看、管理所有他有权管理的微服务(这里的Dashboard并不是指Eureka Server的界面,而是自己另外做的界面);
 *  3️⃣. 在Dashboard的某个地方能直接切换环境,例如一键切换开发、测试、生产环境等.

### 三. Eureka Server的REST API接口 ###

POST /eureka/apps/{appId} 注册新的实例
    DELETE /eureka/apps/{appId}/{instanceId} 注销应用实例
    PUT /eureka/apps/{appId}/{instanceId} 应用实例发送心跳
    GET /eureka/apps 查询所有的实例
    GET /eureka/apps/{appId} 查询指定appId的实例
    GET /eureka/apps/{appId}/{instanceId} 查询指定appId和instanceId的实例
    GET /eureka/instances/{instanceId} 查询指定的instanceId的实例
    PUT /eureka/apps/{appId}/{instanceId}/status?value=OUT_OF_SERVICE 暂停应用实例
    PUT /eureka/apps/{appId}/{instanceId}/status?value=UP 恢复应用实例
    PUT /eureka/apps/{appId}/{instanceId}/metadata?key=value 更新元数据信息
    GET /eureka/vips/{vipAddress} 根据vip地址查询
    GET /eureka/svips/{svipAddress} 根据svip地址查询

[Image 1]: 
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3N5YzAwMDY2Ng_size_16_color_FFFFFF_t_70]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/29/ac4f31505f264c689c97430cd974a077.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3N5YzAwMDY2Ng_size_16_color_FFFFFF_t_70 1]: https://image.dandelioncloud.cn/pgy_files/images/2024/01/29/3239950f39d2495ea0ec747eeafe0c6b.png