接口防止恶意调用的安全策略

拼搏现实的明天。 2022-02-26 10:42 362阅读 0赞

# 1.背景 #

需要做一个微信分享的后端支持接口,请求响应中包含appid,为了避免对外暴露配置相应的安全策略

# 2.步骤 #

### 限制请求域名 ###

在后端cors过滤器中添加指定的域名作为allowedOrigins的值,非此域名无法访问接口\\

@Configuration
    public class CorsConfig implements WebMvcConfigurer {
    
        @Override
        public void addCorsMappings(CorsRegistry registry) {
            registry.addMapping("/**")
                .allowedOrigins("aa.bb.cc")
                .allowCredentials(true)
                .allowedMethods("GET", "POST", "PUT", "DELETE", "OPTIONS")
                .maxAge(3600);
        }
    }

### 限制请求来源 ###

在后端读取referer值判断是否是规定的来源页,否则禁止调用

String referer = request.getHeader("referer");
    		String pattern = "^http://h5.zwlearn.com/yifu.*$";
    		if (referer == null || !Pattern.matches(pattern, referer)) {
    			throw new RRException("禁止调用");
    		}

在以上步骤时,因为做了nginx的反向代理,所以为了获得真实的请求域名和请求来源页,做如下配置:

location /api/{
    		proxy_set_header Referer    $http_referer;
    		proxy_set_header Host       $http_host;
    		proxy_pass  http://localhost:8085/;
        }

http情况下默认不会发送referer ,为了在前端发送referer,做如下配置

解释一下这个值,这个是用来设置Referrer Policy的  
引用策略有以下几种:

*  No Referrer：任何情况下都不发送Referrer信息
 *  No Referrer When Downgrade：仅当协议降级（如HTTPS页面引入HTTP资源）时不发送Referrer信息。是大部分浏览器默认策略。
 *  Origin Only：发送只包含host部分的referrer.
 *  Origin When Cross-origin：仅在发生跨域访问时发送只包含host的Referer，同域下还是完整的。与Origin Only的区别是多判断了是否Cross-origin。协议、域名和端口都一致，浏览器才认为是同域。
 *  Unsafe URL：全部都发送Referrer信息。最宽松最不安全的策略。

# 3.效果 #

在其他域名无法访问,在浏览器直接打开接口地址也无法访问(因为做了转发,和指定的前端referrer并不相同),但是在接口测试工具(类似postman之类)手动指定对应的referrer也是可以访问到的,这点没想到什么比较好的方法限制住