Spring Security & Session实现企业级用户登录及权限控制

1.需求背景

OCP与ODC部署到内部与外部需要具有成熟的用户管理系统，内部需要接入buc用户体系，外部输出需要对接金融云和阿里云三方登录解决方案。原有的OCP1.0系统中用户管理模块是自己实现的，用户信息从Browser传递到Server过程中明文暴露，Cookie或Session泄露容易发生CSRF。1.0系统中权限管理比较混乱，一个角色多达十几个权限，权限系统由前端来控制，不能实现API级别的精确权限控制。

Spring Framework4.x开始提供对Spring Securiy支持，这是一个基于Spring AOP和Servlet过滤器的安全框架。它提供全面的安全性解决方案，同时在Web请求级和方法调用级处理身份确认和授权。

Spring Session是分布式Session的解决方案，在单点式应用中，Session是由tomcat管理的，存在于tomcat的内存中，当我们为了解决分布式场景中的Session共享问题时，引入了redis，其共享内存，以及支持key自动过期的特性，非常契合Session的特性，我们在企业开发中最常用的也就是这种模式。Spring Session通过AOP的方式，将HttpSession持久化到Redis或MySql中，实现分布式部署时对Session的共享。

本文解决的目标：

• Spring Security对接Buc、金融云三方登录
• Spring Security实现对已登录的用户进行权限管理
• Spring Session共享Session，解决分布式部署“单点”登录

微信上的文章图片不能第三方再引用，只好屏幕截图保存了。。。

2018/01/20更新

shadowsocks只提供浏览器socks协议的翻墙，其他的应用并不能科学上网，需要配合使用另外的工具进行http代理。
常见的工具有Proxifier、polipo和ProxyChains，发现Proxifier配置起来最简单和直观。

配置参考

https://ws1.sinaimg.cn/large/006tNc79gy1fnn5m26eeqj30ll04qdgd.jpg

https://www.zybuluo.com/qidiandasheng/note/546822

我的配置：

最新更新，推荐使用Google Cloud的云主机，免费12个月，速度更快，youtube毫无卡顿。地区选择asia-east1-a，香港的节点。

开始

校园网的IPV6可以无限制的上Google和Youtube，马上该毕业了，这样的福利就再也没有了。最开始使用的蓝灯最近发现不能用了，之前想等入职了用公司的VPN，后来想了想不要由于翻墙看外网被公司被认为价值观有问题:-)，没办法只能自己科学上网。一开始就没打算用VPN，因为发现最近几年好用的免费VPN基本绝迹了（然而科学上网后，发现Google Play上有个快喵VPN很好用，推荐给大家）。

方案&原理

方案：VPS+SS

最开始想购买搬瓦工（一年30刀），后来用的是AWS的免费12个月EC2。

EC2最好使用亚太的节点（香港最好），网络延迟会小一些。我最开始用的俄亥俄的节点，延迟在300ms，终端操作都卡，后来换成首尔的节点，延迟在130ms，虽然也卡但是上个谷歌是够了。

开始

一直以来使用印象笔记来记录，笔记一多显得比较凌乱。之前试着搭建自己的博客，网上复杂的教程看的晕头转向。之前一直以为搭建博客需要自己写前端代码。

目前比较常见的开源博客框架有JekyII和Hexo，我选择使用Hexo+Github Pages的方案。

核心概念

搭建博客有两个核心点：

1. 代码托管的位置与域名
2. 怎么随心所欲的修改自己博客的布局以及日常发文需求

环境信息

1
2
3
4
5
6
7
8
9
10
11
12

master：
100.88.11.91 1521 SID=catadb
user:app_schema   password:oracle
system:oracle

shard1:
100.88.11.96 1521 SID=sh1
user:app_schema   password:oracle

shard2:
100.88.8.49 1521 SID=sh2
user:app_schema   password:oracle

PL使用调研

Sharding新功能简介

Oracle Sharding是Oracle 12.2版本推出的新功能,也称为数据分片,适用于online transaction processing (OLTP). Oracle Sharding基于表分区技术，是一种在数据层将数据水平分区存储到不同的数据库的技术. Sharding可以实现将一个分区表的不同分区存储在不同的数据库中,每个数据库位于不同的服务器，每一个数据库都称为shard, 这些shard组成一个逻辑数据库,称为sharded database (SDB). 这个table也称为sharded table, 每个shard数据库中保存该表的不同数据集（按照sharding key分区）, 但是他们有相同的列(columns)。

简介

Figure 1. Database-as-a-Service Wave, Q2 2017

如今主流云数据库产品大多采用传统RDS上云的方式，在传统RDS上面增加了即时伸缩、监控、数据快照与备份等功能。从开发的角度上看，使用这些云RDS是与传统RDS是相同的，现有数据的代码、应用程序和工具也可以用在这些云RDS上面。对于PL，这些传统云RDS也是支持的，用法和使用与传统RDS一致。

AWS的Aurora和Google的Spanner是两个分布式RDS的代表。Spanner目前尚未提供PL服务，Aurora是兼容MySQL的，提供PL功能的同时，还可以结合AWS Lambda服务使用，减轻了业务逻辑的耦合，又提高了云产品生态圈的粘性。

阿里云已经推出类似的函数计算服务，但是目前仅仅可以通过OSS(对象存储)和fcli命令行触发执行，预计未来会支持API GateWay和RDS，其中RDS触发函数计算服务，很有可能采用与AWS一样的解决方案，即通过PL来调用。
阿里云函数计算