当心，别被eureka坑了

Eureka是 Netflix开发的服务发现框架，自己是一个基于 REST的服务，主要用于定位运行在 AWS域中的中间层服务，以达到负载均衡和中间层服务故障转移的目的。SpringCloud将它集成在其子项目spring-cloud-netflix中，以实现SpringCloud的服务发现功能。

Eureka包含两个组件：Eureka Server和Eureka Client。具体怎么部署这里就不说了，直接说问题

Eureka 客户端注册时须要配置服务端地址，相似以下配置

eureka:
  instance:
    hostname: hello-service
    prefer-ip-address: true
    instance-id: ${eureka.instance.hostname}:${server.port}
  client:
    register-with-eureka: true 
    fetch-registry: true
    service-url: 
        defaultZone: "http://localhost:8761/eureka/"

这种配置后客户端就会注册到Eureka注册中心，在Eureka界面就能看到:

可是这样把界面暴露到外面，会把注册信息泄漏，通常公司也不容许暴露没有安全认证的后台界面

因此尝试把Eureka界面加密

引入security

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

Eureka服务端增长basic鉴权：

spring:
  application:
    name: eureka-server 
  security: 
    basic:
      enabled: true
    user:
      name: admin
      password: 123456

配置完成后发现如今访问eureka界面须要用户名和密码登陆了

可是登陆进去后发现刚才的hello服务并无注册进来

呕吼，应该是客户端没配置鉴权信息的缘由，在官网找到了客户端鉴权配置方式

https://cloud.spring.io/sprin...

因而在hello服务修改配置以下：

eureka:
  instance:
    hostname: hello-service
    prefer-ip-address: true
    instance-id: ${eureka.instance.hostname}:${server.port}
  client:
    register-with-eureka: true
    fetch-registry: true
    service-url:
      defaultZone: http://admin:123456@localhost:8761/eureka/

重启hello服务后，发现仍是没有注册成功，原来增长basic验证后，不支持跨域访问了，个人天，你这个大坑，服务注册确定是跨域的了，

因而，迅速增长配置，去掉跨域拦截

@EnableWebSecurity
@Configuration
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
     // http.csrf().disable();//一种方式直接关闭csrf，另外一种配置url后放行
        http.csrf().ignoringAntMatchers("/eureka/**");
        super.configure(http);
    }
}

终于在界面看到可可爱爱的hello服务了，可是呢，还有一个问题，如今不容许这种明文密码出如今配置或代码中，怎么办呢？

首先想到的就是密码加密, 因此从spring-securiry中找到PasswordEncoderFactories加密

PasswordEncoderFactories.createDelegatingPasswordEncoder().encode("123456")

而后把加密后的结果放到Eureka服务端配置文件中：

security: 
  basic:
    enabled: true 
  user:
    name: admin
    password: '{bcrypt}$2a$10$mhH7ogkRB91YDUO3F883JugDMHz2o6miT95.8ukqEc6Ed4Z2xyHmm' //必须有引号

那Eureka客户端怎么办？ 一样道理的嘛

client:
  register-with-eureka: true
  fetch-registry: true
  service-url:
    defaultZone: http://admin:{bcrypt}$2a$10$mhH7ogkRB91YDUO3F883JugDMHz2o6miT95.8ukqEc6Ed4Z2xyHmm@localhost:8761/eureka/

可是呢，启动直接报错，害，eureka注册时并不会解密

解析Eureka服务端地址失败，即便是加上引号也是报相同错误

Eureka客户端注册过来的消息，服务端并不会给解密，那怎么办呢？

从上图能够看到若是要实现更复杂的需求，须要经过注入clientFilter方式，so，搞起来

@Configuration
@Priority(Integer.MIN_VALUE)
public class UserCilentFilter extends ClientFilter {
    @Override
    public ClientResponse handle(ClientRequest clientRequest) throws ClientHandlerException {
        try {
            String originUrl = clientRequest.getURI().toString();
            if(originUrl.contains("@")){
                return this.getNext().handle(clientRequest);
            }
            String userNameAndPwd = "http://admin"+ jiemi("'{bcrypt}$2a$10$mhH7ogkRB91YDUO3F883JugDMHz2o6miT95.8ukqEc6Ed4Z2xyHmm'");
            String addUserInfoUrl = originUrl.replaceFirst("http://", userNameAndPwd);
            clientRequest.setURI(new URI(addUserInfoUrl));
        } catch (URISyntaxException e) {
            // FIXME: 2021/4/2
        }
        return this.getNext().handle(clientRequest);
    }

    private String jiemi(String pwd) {
        // FIXME: 解密
        return pwd;
    }


    @Bean
    public DiscoveryClient.DiscoveryClientOptionalArgs discoveryClientOptionalArgs() {
        DiscoveryClient.DiscoveryClientOptionalArgs discoveryClientOptionalArgs = new DiscoveryClient.DiscoveryClientOptionalArgs();
        discoveryClientOptionalArgs.setAdditionalFilters(Collections.singletonList(new UserCilentFilter()));
        return discoveryClientOptionalArgs;
    }
}

这样写的思路是让其余客户端注册时去掉用户名和密码，而后在自定义过滤器中对没有用户名和密码时补充上basic验证的用户名和密码

而后开始测试，这样仍是不行，其余服务注册过来时，会被其余安全过滤器拦截都走不到自定义的拦截器就返回鉴权失败了，即便@Priority(Integer.MIN_VALUE)最高优先级

那是否是能够在更前面的地方进行拦截呢？增长ServletRequest拦截器可行否？

@Configuration
public class ServerRequestAuthFilter implements Filter {
    @Override
    public void doFilter(ServletRequest request, ServletResponse response,
                         FilterChain filterChain) throws IOException, ServletException {
        //业务实现，根据请求的IP或者参数判断是否能够执行注册或者访问
//        String addUserInfoUrl = originUrl.replaceFirst("http://", "http://admin:123456@");
        filterChain.doFilter(request, response);
    }
}

可是假设这样修改后，登陆的web界面也会走到这个拦截器，一样会增长鉴权

也就是说这样直接增长鉴权，没法区分是其余客户端注册仍是从界面访问

也没有什么太好的办法了，就直接在security的拦截器中把eureka注册相关的放掉，不进行鉴权操做

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.authorizeRequests().antMatchers("/eureka/**").permitAll();
    super.configure(http);
}

这样设置后除了直接访问的界面须要鉴权外，其余eureka相关注册、查询等不须要鉴权

都这样分层鉴权操做了，再找下是否是有其余方式达到相同的目的，因而找到

eureka:
  dashboard:
    enabled: false

经过在启动脚本设置后，效果是相似的，在eureka主界面没法访问

上面全部的操做都是为了信息安全考虑，还有一个常常忘记须要考虑的组件是Spring Boot Actuator，针对 Spring Boot Actuator 提供的 endpoint，采起如下几种措施，能够尽量下降被安全攻击的风险

1. 最小粒度暴露 endpoint。只开启并暴露真正用到的 endpoint，而不是配置：management.endpoints.web.exposure.include=*。
2. 为 endpoint 配置独立的访问端口，从而和 web 服务的端口分离开，避免暴露 web 服务时，误将 actuator 的 endpoint 也暴露出去。例：management.port=8099。
3. 引入 spring-boot-starter-security 依赖，为 actuator 的 endpoint 配置访问控制。
4. 慎重评估是否须要引入 spring-boot-stater-actuator。以我我的的经验，我至今尚未遇到什么需求是必定须要引入spring-boot-stater-actuator 才能解决，若是你并不了解上文所述的安全风险，我建议你先去除掉该依赖。

信息安全已经成为各大公司不得不考虑的问题，因此精准的权限控制也是必不可少的，但愿本文对你们在使用SpringCloud相关组件安全控制上有启发做用。

若是以为俺写的还能够，记得点赞，一键三连也不介意。

☞☞每周一篇，胜过神仙，看完点赞，养成习惯☜☜