比如設(shè)計api的時候，存在2個合法的調(diào)用方，比如a和b；api分為2類：部分api需要獲取到調(diào)用方的身份信息（只是拿身份信息作為輸入，比如插表或者查詢條件），部分不需要a調(diào)用全部api的時候，因為a是在某網(wǎng)站里面調(diào)用（ajax），所以登錄了，能獲取到身份信息。b直接調(diào)用不需要用戶信息的api（但是這些api也會被a調(diào)用）
問題。如果我做個攔截器，攔截所有api請求（限制條件為，必須登錄才能調(diào)用），那么對b是不合理的。因為b調(diào)用的api不需要身份信息如果我不攔截請求，那么所有api對所有的人都是public的了，任何人都可以調(diào)用不需要身份信息的api，存在安全風(fēng)險。
所以想問下如何處理？
看了下Jwt，好像不太適合應(yīng)用場景
4 回答
蠱毒傳說
TA貢獻(xiàn)1895條經(jīng)驗 獲得超3個贊
我簡單的給你說下思路，你所謂的攔截器應(yīng)該是過濾器才是，我沒寫過Java，但是接口倒是寫過一些，我給你說下簡單的思路
過濾器(也許是你說的攔截器)
接口編寫需要注意的大概步驟
- accessToken 判定(即使非登陸用戶也可以通過特定接口授權(quán)一個動態(tài)的accessToken，看情況而定)
- 權(quán)限判定(可以包含路由選擇,你對應(yīng)的接口有相對應(yīng)的權(quán)限需求，不是說統(tǒng)一暴力的根據(jù)是否登陸來攔截，而是根據(jù)該接口所需要的權(quán)限和訪問者是否具備訪問該接口的權(quán)限來做攔截判定)
- SQL 、XSS 之類的常規(guī)過濾攔截，特殊符號轉(zhuǎn)換
- 參數(shù)化所有接受請求的參數(shù)
- 邏輯處理(如果有refer或者接口請求次序的支持需要，可以根據(jù)接口產(chǎn)生接口session)
- 數(shù)據(jù)相應(yīng)與返回
- 標(biāo)準(zhǔn)化請求參數(shù)，數(shù)據(jù)返回類型
- 文檔說明
以上只是編寫一個接口的一個簡單過程，可以根據(jù)自己的實際需求做完善和修改,因為不知道你實際的應(yīng)用場景,為了安全性可能還需要做更多的安全校驗
倚天杖
TA貢獻(xiàn)1828條經(jīng)驗 獲得超3個贊
在B類調(diào)用AJAX的時候多傳一個參數(shù)，然后你后臺校驗是否有登錄或者這個參數(shù)。如果有登錄或者這個參數(shù)就給它數(shù)據(jù)，如果不符合要求就不給它數(shù)據(jù)。這樣？
小唯快跑啊
TA貢獻(xiàn)1863條經(jīng)驗 獲得超2個贊
我覺得多加一個判斷的變量就好了。
a調(diào)（參數(shù)，變量）
b調(diào)（參數(shù)，變量）
方法根據(jù)變量來確定是否要登陸。
添加回答
舉報
0/150
提交
取消