关于登录的安全性管理有较多的手段，包括；设备信息、IP信息、绑定的信息、验证码登各类方式。不过在一些网页版的登录中，如果有人想办法把你的验证码给我，我就可以登录你的账户，查看你的数据。对于一些不法分子通过让你进入某些应用的录屏会议后（XXX退货返现），就能拿到你的验证码，并做登录操作。还有一些是完全流氓式做法，就玩命的一些快递📦手机号+验证码频繁的撞接口，也是有概率成功登录的。因此，为了避免这种情况，我们还需要思考如何防范。
我们可以考虑在登录的阶段必须加一些恶心的图片比对码，或者滑块验证码。这也是一种方式，能尽可能降低登录的撞接口操作。之后再考虑添加一个指纹ID，对于验证码的生成与用户从浏览器设备过来的指纹做绑定。这样即使对方通过录屏拿到你的验证码，也仍然没有做登录操作。
<script>
// Initialize the agent at application startup.
const fpPromise = import('https://openfpcdn.io/fingerprintjs/v4')
.then(FingerprintJS => FingerprintJS.load())
// Get the visitor identifier when you need it.
fpPromise
.then(fp => fp.get())
.then(result => {
// This is the visitor identifier:
const visitorId = result.visitorId
console.log(visitorId)
})
</script>有了上面这个方案，我们至少可以做一些安全的管控了。但还有臭不要脸的，一直刷你接口。这既有安全风险，又有对服务器的压力。所以我们要考虑对于这样的恶意用户进行限流和自动化黑名单处理。
浏览器指纹的方案只需要做一个验证码绑定即可，之后限流和自动化黑名单，则需要做一些代码的开发。通过配置的方式为每一个需要做此类功能的接口添加上服务治理。通常我们把对应用的熔断、降级、限流、切量、黑白名单、人群等，都称为服务治理
工程结构
限流拦截
切面定义
public @interface AccessInterceptor {
/** 用哪个字段作为拦截标识，未配置则默认走全部 */
String key() default "all";
/** 限制频次（每秒请求次数） */
double permitsPerSecond();
/** 黑名单拦截（多少次限制后加入黑名单）0 不限制 */
double blacklistCount() default 0;
/** 黑名单持续时间（秒） */
long blacklistDurationSeconds() default 24 * 3600; // 默认为24小时
/** 拦截后的执行方法 */
String fallbackMethod();
}- 自定义切面注解，提供了拦截的key、限制频次、黑名单处理、黑名单持续时间、拦截后的回调方法。再通过 @Pointcut 切入配置了自定义注解的接口方法
切面拦截
@Slf4j
@Aspect
public class RateLimiterAOP {
@Resource
private RedissonClient redissonClient;
@Pointcut("@annotation(cn.bugstack.chatgpt.data.types.annotation.AccessInterceptor)")
public void aopPoint() {
}
@Around("aopPoint() && @annotation(accessInterceptor)")
public Object doRouter(ProceedingJoinPoint jp, AccessInterceptor accessInterceptor) throws Throwable {
String key = accessInterceptor.key();
if (key == null || key.isEmpty()) {
throw new IllegalArgumentException("RateLimiter key is null or empty!");
}
// 获取拦截字段
String keyAttr = getAttrValue(key, jp.getArgs());
log.info("aop attr {}", keyAttr);
// 黑名单拦截
if (!"all".equals(keyAttr) && accessInterceptor.blacklistCount() != 0 && isBlacklisted(keyAttr, accessInterceptor)) {
log.info("限流-黑名单拦截(24h)：{}", keyAttr);
return fallbackMethodResult(jp, accessInterceptor.fallbackMethod());
}
// 速率限制
if (!isRateLimited(keyAttr, accessInterceptor)) {
log.info("限流-超频次拦截：{}", keyAttr);
return fallbackMethodResult(jp, accessInterceptor.fallbackMethod());
}
// 返回结果
return jp.proceed();
}
/**
* 黑名单
* @param keyAttr
* @param accessInterceptor
* @return
*/
private boolean isBlacklisted(String keyAttr, AccessInterceptor accessInterceptor) {
String blacklistKey = "blacklist:" + keyAttr;
long count = redissonClient.getAtomicLong(blacklistKey).incrementAndGet();
redissonClient.getAtomicLong(blacklistKey).expire(accessInterceptor.blacklistDurationSeconds(), TimeUnit.SECONDS);
return count > accessInterceptor.blacklistCount();
}
/**
* 限流
* @param keyAttr
* @param accessInterceptor
* @return
*/
private boolean isRateLimited(String keyAttr, AccessInterceptor accessInterceptor) {
String rateLimitKey = "ratelimit:" + keyAttr;
RRateLimiter rateLimiter = redissonClient.getRateLimiter(rateLimitKey);
// 设置速率
rateLimiter.trySetRate(RateType.OVERALL, (long) accessInterceptor.permitsPerSecond(), 1, RateIntervalUnit.SECONDS);
// 尝试获取许可
return rateLimiter.tryAcquire();
}
/**
* 调用用户配置的回调方法，当拦截后，返回回调结果。
*/
private Object fallbackMethodResult(ProceedingJoinPoint jp, String fallbackMethod) throws NoSuchMethodException, InvocationTargetException, IllegalAccessException {
MethodSignature methodSignature = (MethodSignature) jp.getSignature();
Method method = jp.getTarget().getClass().getMethod(fallbackMethod, methodSignature.getParameterTypes());
return method.invoke(jp.getThis(), jp.getArgs());
}
/**
* 实际根据自身业务调整，主要是为了获取通过某个值做拦截
*/
private String getAttrValue(String attr, Object[] args) {
if (args[0] instanceof String) {
return (String) args[0];
}
String fieldValue = null;
for (Object arg : args) {
try {
if (fieldValue != null) {
break;
}
fieldValue = String.valueOf(getValueByName(arg, attr));
} catch (Exception e) {
log.error("获取属性值失败 attr：{}", attr, e);
}
}
return fieldValue;
}
/**
* 获取对象的特定属性值
*
* @param item 对象
* @param name 属性名
* @return 属性值
* @author tang
*/
private Object getValueByName(Object item, String name) {
try {
Field field = getFieldByName(item, name);
if (field == null) {
return null;
}
field.setAccessible(true);
Object value = field.get(item);
field.setAccessible(false);
return value;
} catch (IllegalAccessException e) {
return null;
}
}
/**
* 根据名称获取方法，该方法同时兼顾继承类获取父类的属性
*
* @param item 对象
* @param name 属性名
* @return 该属性对应方法
* @author tang
*/
private Field getFieldByName(Object item, String name) {
try {
Field field;
try {
field = item.getClass().getDeclaredField(name);
} catch (NoSuchFieldException e) {
field = item.getClass().getSuperclass().getDeclaredField(name);
}
return field;
} catch (NoSuchFieldException e) {
return null;
}
}
}- 通过自定义注解中配置的拦截字段，获取对应的值。这里的值作为用户的标识使用，只对这个用户进行拦截。【也可以是一些列的信息确认，包括用户IP、设备等。】
- 这段代码流程中会根据自定义注解中的配置，对访问的用户进行限流拦截，当拦击次数达到加入黑名单的次数后，则直接存起来（Redis）在24h内直接走黑名单。—— 实际的场景中还会有风控的手段介入，以及人工来操作黑名单。
@Configuration
public class RateLimiterAOPConfig {
@Bean
public RateLimiterAOP rateLimiter(){
return new RateLimiterAOP();
}
}最后在需要拦截的方法上添加自定义注解即可
- key: 以用户ID作为拦截，这个用户访问次数限制
- fallbackMethod：失败后的回调方法，方法出入参保持一样
- permitsPerSecond：每秒的访问频次限制。1秒1次
- blacklistCount：超过10次都被限制了，还访问的，扔到黑名单里24小时
