看我如何优雅而不损失性能实现SpringCloud Gateway网关参数加解密方案 ...

tsx81428  金牌会员 | 2022-8-9 14:44:34 | 显示全部楼层 | 阅读模式
打印 上一主题 下一主题
楼主

主题 523|帖子 523|积分 1569

背景
为了增强产品安全性，计划对应用网关进行改造，主要是出入参经过网关时需要进行加解密操作，保证请求数据在网络传输过程中不会泄露或篡改。
考虑到密钥的安全性，每个用户登录都会签发独立的密钥对。同时摒弃了对称加密算法，使用国密非对称的SM2算法进行参数加解密。
 
网关加解密全流程时序图
 
 
难点
 先说下开发过程中遇到的一些困难，后面再看代码就知道为什么这么写。
1、网上有价值可供参考的代码不多，这也是为什么要写这边博客的原因，网上现有代码大部分都是互相照搬的，实测过程会发现有很多问题，比如ServerHttpRequestDecorator要重复new很多遍。
2、由于Gateway是基于WebFlux的非阻塞线程模型开发的，在读取RequestBody时可能会出现读取不完整的问题，而且是偶发现象，同样的问题在重写ResponseBody时也会遇到。
3、性能问题，SM2算法是基于bcprov-jdk15on开源库，加解密过程需要对密钥对进行缓存，如果通过16进制字符串进行序列化耗时过长，会造成网关性能瓶颈。
 
SM2
 先说SM2加解密算法这块。
用的是全球最大同性交友网站开源的一个项目，对SM2加解密操作进行了一些封装，项目地址：https://github.com/ZZMarquis/gmhelper
因为每个用户登录时都会签发密钥对，所以每次加解密需要获取用户对应的密钥对后再进行参数加解密操作。
为了避免每次通过密钥对字符串创建密钥对象增加代码执行耗时，用户密钥对使用protostuff序列化为字符串后en缓存在Redis中，需要使用的时候直接从Redis中读取出来反序列化为密钥对象即可，这一步大大提升了代码性能。
该部分代码如下：
pom.xml
  1. <dependency>
  2.     <groupId>org.zz</groupId>
  3.     <artifactId>gmhelper</artifactId>
  4.     <version>1.0.0</version>
  5. </dependency>
  7. <dependency>
  8.     <groupId>io.protostuff</groupId>
  9.     <artifactId>protostuff-core</artifactId>
  10.     <version>1.8.0</version>
  11. </dependency>
  13. <dependency>
  14.     <groupId>io.protostuff</groupId>
  15.     <artifactId>protostuff-runtime</artifactId>
  16.     <version>1.8.0</version>
  17. </dependency>
复制代码
 密钥对PO对象
  1. public class SM2Key implements Serializable {
  3.     private static final long serialVersionUID = 8273826788748051389L;
  4.     /**
  5.      * 后端加密公钥，对应私钥由前端持有（webPrivateKey）
  6.      */<br><br>    private ECPublicKeyParameters serverPublicKey;
  8.     /**
  9.      * 后端解密私钥，对应公钥由前端持有（webPublicKey）
  10.      */
  11.     private ECPrivateKeyParameters serverPrivateKey;
  13.     /**
  14.      * 前端加密公钥，对应私钥由后端持有（serverPrivateKey）
  15.      */
  16.     private String webPublicKey;
  18.     /**
  19.      * 前端解密私钥，对应公钥由后端持有（serverPublicKey）
  20.      */
  21.     private String webPrivateKey;
  23.     public static SM2Key build() {
  24.         return new SM2Key();
  25.     }
  27.     public static SM2Key build(String protostuffHex) {
  28.         final byte[] protostuffBytes = ByteUtils.fromHexString(protostuffHex);
  29.         Schema schema = RuntimeSchema.getSchema(SM2Key.class);
  30.         SM2Key key = RuntimeSchema.getSchema(SM2Key.class).newMessage();
  31.         GraphIOUtil.mergeFrom(protostuffBytes, key, schema);
  32.         return key;
  33.     }
  35.     public ECPublicKeyParameters getServerPublicKey() {
  36.         return serverPublicKey;
  37.     }
  39.     public void setServerPublicKey(ECPublicKeyParameters serverPublicKey) {
  40.         this.serverPublicKey = serverPublicKey;
  41.     }
  43.     public ECPrivateKeyParameters getServerPrivateKey() {
  44.         return serverPrivateKey;
  45.     }
  47.     public void setServerPrivateKey(ECPrivateKeyParameters serverPrivateKey) {
  48.         this.serverPrivateKey = serverPrivateKey;
  49.     }
  51.     public String getWebPublicKey() {
  52.         return webPublicKey;
  53.     }
  55.     public void setWebPublicKey(String webPublicKey) {
  56.         this.webPublicKey = webPublicKey;
  57.     }
  59.     public String getWebPrivateKey() {
  60.         return webPrivateKey;
  61.     }
  63.     public void setWebPrivateKey(String webPrivateKey) {
  64.         this.webPrivateKey = webPrivateKey;
  65.     }
  67.     /**
  68.      * 对象序列化
  69.      * @return
  70.      */
  71.     public String toProtostuffString() {
  72.         LinkedBuffer buffer = LinkedBuffer.allocate();
  73.         try {
  74.             Schema<SM2Key> schema = RuntimeSchema.getSchema(SM2Key.class);
  75.             final byte[] protostuff = GraphIOUtil.toByteArray(this, schema, buffer);
  76.             return ByteUtils.toHexString(protostuff);
  77.         } finally {
  78.             buffer.clear();
  79.         }
  80.     }
  82. }
复制代码
 密钥对签发工具类
  1. public class SM2KeyUtil {
  3.     /**
  4.      * 生成前后端加解密密钥对
  5.      * @return
  6.      */
  7.     public static SM2Key generate() {
  9.         // 构建前后端密钥对
  10.         SM2Key key = SM2Key.build();
  12.         AsymmetricCipherKeyPair keyPair;
  13.         ECPrivateKeyParameters privateKey;
  14.         ECPublicKeyParameters publicKey;
  16.         keyPair = SM2Util.generateKeyPairParameter();
  17.         privateKey = (ECPrivateKeyParameters) keyPair.getPrivate();
  18.         publicKey = (ECPublicKeyParameters) keyPair.getPublic();
  19.         // 后端加密所需公钥
  20.         key.setServerPublicKey(publicKey);
  21.         // 前端解密所需私钥
  22.         key.setWebPrivateKey(ByteUtils.toHexString(privateKey.getD().toByteArray()));
  24.         keyPair = SM2Util.generateKeyPairParameter();
  25.         privateKey = (ECPrivateKeyParameters) keyPair.getPrivate();
  26.         publicKey = (ECPublicKeyParameters) keyPair.getPublic();
  27.         // 后端解密所需私钥
  28.         key.setServerPrivateKey(privateKey);
  29.         // 前端加密所需公钥
  30.         key.setWebPublicKey(ByteUtils.toHexString(publicKey.getQ().getEncoded(false)));
  32.         return key;
  34.     }
  36. }
复制代码
 
 通过SM2Key.toProtostuffString()方法获得序列化字符串并写入Redis中
全局拦截器
全局拦截器配置类
  1. /**
  2. * 网关加解密配置类
  3. * @author changxy
  4. */
  5. @Configuration
  6. @ConditionalOnProperty(value = "secret.enabled", havingValue = "true", matchIfMissing = true)
  7. public class SecretConfiguration {
  9.     private static final Logger log = LoggerFactory.getLogger(SecretConfiguration.class);
  11.     /**
  12.      * 免加密接口配置
  13.      */
  14.     public static final String EXCLUDE_PATH_CONFIG_KEY = "#{'${secret.excluded.paths}'.split(',')}";
  16.     /**
  17.      * 注册入参解密全局拦截器
  18.      * @param secretFormatterAdapter            加解密格式化适配器
  19.      * @param decryptRequestBodyFilterFactory   入参解密拦截器工厂，主要为了读取Body
  20.      * @param requestBodyDecryptRewriter        RequestBody参数解密RewriteFunction
  21.      * @return
  22.      */
  23.     @Bean
  24.     public DecryptParameterFilter decryptParameterFilter(
  25.             @Autowired SecretFormatterAdapter secretFormatterAdapter,
  26.             @Autowired ModifyRequestBodyGatewayFilterFactory decryptRequestBodyFilterFactory,
  27.             @Autowired RequestBodyDecryptRewriter requestBodyDecryptRewriter
  28.     ) {
  29.         log.info("初始化入参解密全局拦截器");
  30.         return new DecryptParameterFilter(secretFormatterAdapter, decryptRequestBodyFilterFactory, requestBodyDecryptRewriter);
  31.     }
  33.     /**
  34.      * 注册出参加密拦截器
  35.      * ！！！！免加密配置项中的接口出参不进行加密处理！！！！
  36.      * @param secretFormatterAdapter    加解密格式化适配器
  37.      * @param encryptFilterFactory      出参加密拦截器工厂，对Content-Type为JSON的响应内容加密处理
  38.      * @param jsonEncryptRewriter       ResponseBody参数加密RewriteFunction
  39.      * @param excludedPaths             免加密接口配置
  40.      * @return
  41.      */
  42.     @Bean
  43.     public EncryptResponseFilter encryptResponseFilter(
  44.             @Autowired SecretFormatterAdapter secretFormatterAdapter,
  45.             @Autowired ModifyResponseBodyGatewayFilterFactory encryptFilterFactory,
  46.             @Autowired ResponseJSONEncryptRewriter jsonEncryptRewriter,
  47.             @Value(EXCLUDE_PATH_CONFIG_KEY) List<String> excludedPaths
  48.     ) {
  49.         log.info("初始化出参加密全局拦截器");
  50.         return new EncryptResponseFilter(secretFormatterAdapter, encryptFilterFactory, jsonEncryptRewriter, excludedPaths);
  51.     }
  53.     /**
  54.      * 入参解密拦截器工厂，主要为了读取Body
  55.      * @param secretFormatterAdapter    加解密格式化适配器
  56.      * @return
  57.      */
  58.     @Bean
  59.     RequestBodyDecryptRewriter requestBodyDecryptRewrite(@Autowired SecretFormatterAdapter secretFormatterAdapter) {
  60.         return new RequestBodyDecryptRewriter(secretFormatterAdapter);
  61.     }
  63.     /**
  64.      * 出参加密拦截器工厂，对Content-Type为JSON的响应内容加密处理
  65.      * @param secretFormatterAdapter    加解密格式化适配器
  66.      * @return
  67.      */
  68.     @Bean
  69.     ResponseJSONEncryptRewriter responseJSONEncryptRewriter(@Autowired SecretFormatterAdapter secretFormatterAdapter) {
  70.         return new ResponseJSONEncryptRewriter(secretFormatterAdapter);
  71.     }
  73. }
复制代码
 
全局入参解密拦截器，为了安全起见，保留关键代码，部分常量被移除。
DecryptedServerHttpRequestDecorator通过重写URI实现querystring部分参数的解密处理，同时在路由转发前增加secret请求头。
RequestBodyDecryptRewriter是RewriteFunction的实现类，主要读取RequestBody内容进行解密、重写操作，这里使用RewriteFunction可以获取完整的Body内容。
  1. public class DecryptParameterFilter implements GlobalFilter, Ordered {
  3.     private final static Logger log = LoggerFactory.getLogger(DecryptParameterFilter.class);
  5.     /**
  6.      * 加解密序列化适配器
  7.      */
  8.     private final SecretFormatterAdapter secretFormatterAdapter;
  10.     private final ModifyRequestBodyGatewayFilterFactory decryptRequestBodyFilterFactory;
  12.     private final RequestBodyDecryptRewriter requestBodyDecryptRewriter;
  14.     public DecryptParameterFilter(
  15.             SecretFormatterAdapter secretFormatterAdapter,
  16.             ModifyRequestBodyGatewayFilterFactory decryptRequestBodyFilterFactory,
  17.             RequestBodyDecryptRewriter requestBodyDecryptRewriter) {
  18.         this.secretFormatterAdapter = secretFormatterAdapter;
  19.         this.decryptRequestBodyFilterFactory = decryptRequestBodyFilterFactory;
  20.         this.requestBodyDecryptRewriter = requestBodyDecryptRewriter;
  21.     }
  23.     @Override
  24.     public Mono<Void> filter(ServerWebExchange exchange, GatewayFilterChain chain) {
  26.         // 读取token
  27.         String token = exchange.getRequest().getHeaders().getFirst(SystemSsoLoginStore.SSO_TOKEN);
  29.         // 通过token在redis读取用户信息
  30.         SystemSsoUser user = SystemSsoLoginHelper.loginCheck(token);
  32.         // 设置用户信息上下文
  33.         exchange.getAttributes().put(SystemSsoTokenFilter.GATEWAY_SSO_USER_ATTR, user);
  34.         // 设置用户上下文对象，用户加解密读取公私钥
  35.         exchange.getAttributes().put(GATEWAY_SSO_USER_KEYS_ATTR, SM2Key.build(user.getSecretKey()));
  37.         return decryptRequestBodyFilterFactory
  38.                 .apply(new ModifyRequestBodyGatewayFilterFactory.Config().setRewriteFunction(String.class, String.class, requestBodyDecryptRewriter))
  39.                 .filter(new DecryptedServerWebExchangeDecorator(exchange, secretFormatterAdapter), chain);
  40.     }
  42.     @Override
  43.     public int getOrder() {
  44.         // 需要对exchange和request对象进行封装，所以优先级放到最高
  45.         // 优先级过低可能会造成拦截器不生效
  46.         return Ordered.HIGHEST_PRECEDENCE;
  47.     }
  49.     /**
  50.      * ServerHttpRequest解密封装类
  51.      * 1、处理queryString参数解密
  52.      * 2、处理body参数解密
  53.      * @author changxy
  54.      */
  55.     static class DecryptedServerHttpRequestDecorator extends ServerHttpRequestDecorator {
  57.         private ServerWebExchange originExchange;
  59.         private ServerHttpRequest originRequest;
  61.         public DecryptedServerHttpRequestDecorator(ServerWebExchange originExchange, ServerHttpRequest originRequest, SecretFormatterAdapter secretFormatterAdapter) {
  62.             super(originRequest);
  63.             this.originExchange = originExchange;
  64.             this.originRequest = originRequest;
  65.             this.secretFormatterAdapter = secretFormatterAdapter;
  66.         }
  69.         @Override
  70.         public URI getURI() {
  72.             // 获取原始请求链接
  73.             URI uri = super.getURI();
  74.             // 获取原始QueryString请求参数
  75.             MultiValueMap<String, String> originQueryParams = originRequest.getQueryParams();
  77.             // 处理QueryString请求参数解密
  78.             if (Objects.nonNull(originQueryParams) && originQueryParams.containsKey(ENCRYPT_QUERY_STRING_KEY)) {
  79.                 // 获取密文
  80.                 List<String> encrypted = originQueryParams.get(ENCRYPT_QUERY_STRING_KEY);
  81.                 // 非空校验
  82.                 if (Objects.nonNull(encrypted) && !encrypted.isEmpty()) {
  83.                     UriComponentsBuilder uriComponentsBuilder = UriComponentsBuilder.fromUri(uri);
  85.                     // 清空原有queryString
  86.                     uriComponentsBuilder.query(null);
  88.                     for (String encrypt : encrypted) {
  89.                         // 解密并放入queryString中
  90.                         uriComponentsBuilder.query(Sm2Factory.getInstance().decrypt(originExchange, encrypt));
  91.                     }
  93.                     // build(true) 不会再次进行URL编码
  94.                     uri = uriComponentsBuilder.build(true).toUri();
  95.                     return uri;
  96.                 }
  97.             }
  98.             return super.getURI();
  99.         }
  101.         @Override
  102.         public HttpHeaders getHeaders() {
  103.             HttpHeaders headers = new HttpHeaders();
  104.             headers.putAll(super.getHeaders());
  105.             // 请求微服务应用时添加加解密请求头，门户根据请求头签发证书，前端进行入参加密
  106.             headers.put("secret", Collections.singletonList(Boolean.TRUE.toString()));
  107.             return headers;
  108.         }
  110.     }
  112.     /**
  113.      * ServerWebExchange包装类，这里主要为了包装ServerHttpRequest
  114.      */
  115.     static class DecryptedServerWebExchangeDecorator extends ServerWebExchangeDecorator {
  117.         private final ServerHttpRequestDecorator requestDecorator;
  119.         protected DecryptedServerWebExchangeDecorator(ServerWebExchange delegate, SecretFormatterAdapter secretFormatterAdapter) {
  120.             super(delegate);
  121.             this.requestDecorator = new DecryptedServerHttpRequestDecorator(delegate, delegate.getRequest(), secretFormatterAdapter);
  122.         }
  124.         @Override
  125.         public ServerHttpRequest getRequest() {
  126.             return requestDecorator;
  127.         }
  128.     }
  130. }
复制代码
 
RequestBodyDecryptRewriter
  1. public class RequestBodyDecryptRewriter implements RewriteFunction<String, String> {
  3.     protected static final List<MediaType> ENCRYPT_MEDIA_TYPES = Arrays.asList(MediaType.APPLICATION_JSON,
  4.             MediaType.APPLICATION_JSON_UTF8,
  5.             MediaType.APPLICATION_FORM_URLENCODED,
  6.             MediaType.valueOf("application/x-www-form-urlencoded;charset=UTF-8"));
  8.     /**
  9.      * 加解密序列化适配器
  10.      */
  11.     private final SecretFormatterAdapter secretFormatterAdapter;
  13.     public RequestBodyDecryptRewriter(SecretFormatterAdapter secretFormatterAdapter) {
  14.         this.secretFormatterAdapter = secretFormatterAdapter;
  15.     }
  17.     @Override
  18.     public Publisher<String> apply(ServerWebExchange exchange, String body) {
  19.         return Mono.just(decryptBody(exchange, body));
  20.     }
  22.     /**
  23.      * 判断是否需要解密处理
  24.      * @param exchange
  25.      * @return
  26.      */
  27.     protected Boolean isEncryptBody(ServerWebExchange exchange) {
  28.         MediaType contentType = exchange.getRequest().getHeaders().getContentType();
  29.         return ENCRYPT_MEDIA_TYPES.contains(contentType);
  30.     }
  32.     protected String decryptBody(ServerWebExchange exchange, String body) {
  33.         if (isEncryptBody(exchange) && StringUtils.hasText(body)) {
  34.             return secretFormatterAdapter.format(exchange, SecretFormatter.SecretFormatterType.DECRYPT, body);
  35.         }
  37.         return body;
  38.     }
  39. }
复制代码
 
全局加密拦截器
实现原理和全局解密拦截器类似，这里不再赘述。
EncryptResponseFilter
[code]public class EncryptResponseFilter implements GlobalFilter, Ordered {    protected static final List MEDIA_TYPES = Arrays.asList(MediaType.APPLICATION_JSON, MediaType.APPLICATION_JSON_UTF8);    /**     * 加解密序列化适配器     */    private final SecretFormatterAdapter secretFormatterAdapter;    private final ModifyResponseBodyGatewayFilterFactory encryptFilterFactory;    private final ResponseJSONEncryptRewriter jsonEncryptRewriter;    private final List excludedPaths;    public EncryptResponseFilter(            SecretFormatterAdapter secretFormatterAdapter,            ModifyResponseBodyGatewayFilterFactory encryptFilterFactory,            ResponseJSONEncryptRewriter jsonEncryptRewriter,            List excludedPaths    ) {        this.secretFormatterAdapter = secretFormatterAdapter;        this.encryptFilterFactory = encryptFilterFactory;        this.jsonEncryptRewriter = jsonEncryptRewriter;        this.excludedPaths = excludedPaths;    }    @Override    public Mono filter(ServerWebExchange exchange, GatewayFilterChain chain) {        // 不处理免加密接口        if (PathMatcherFactoryInstance.match(excludedPaths, exchange.getRequest().getURI().getPath())) {            return chain.filter(exchange);        }        return chain.filter(exchange.mutate().response(new EncryptServerHttpResponseDecorator(exchange, encryptFilterFactory, jsonEncryptRewriter, chain)).build());    }    @Override    public int getOrder() {        return NettyWriteResponseFilter.WRITE_RESPONSE_FILTER_ORDER - 1;    }    /**     * ServerHttpResponse封装类     */    static class EncryptServerHttpResponseDecorator extends ServerHttpResponseDecorator {        private final ServerHttpResponse serverHttpResponse;        private final ModifyResponseBodyGatewayFilterFactory encryptFilterFactory;        private final ResponseJSONEncryptRewriter jsonEncryptRewriter;        private final ServerWebExchange serverWebExchange;        private final GatewayFilterChain chain;        public EncryptServerHttpResponseDecorator(                ServerWebExchange serverWebExchange,                ModifyResponseBodyGatewayFilterFactory encryptFilterFactory,                ResponseJSONEncryptRewriter jsonEncryptRewriter,                GatewayFilterChain chain        ) {            super(serverWebExchange.getResponse());            this.serverHttpResponse = serverWebExchange.getResponse();            this.serverWebExchange = serverWebExchange;            this.encryptFilterFactory = encryptFilterFactory;            this.jsonEncryptRewriter = jsonEncryptRewriter;            this.chain = chain;        }        @Override        public Mono writeWith(Publisher

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有账号？立即注册

x
回复

使用道具 举报

0 个回复

正序浏览
返回列表

快速回复

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 or 立即注册

本版积分规则

tsx81428

金牌会员
这个人很懒什么都没写!

楼主热帖

标签云

挺好的 服务器
微信订阅号
微信服务号
微信客服
小程序
H5
关于我们 商务合作 网站地图
©Copyright 2022-2024 杭州祥升科技有限公司 版权所有 浙ICP备20004199号
快速回复 返回顶部 返回列表