微服务安全框架流程图
2021-05-23 21:35:42 1 举报应用网关设计及sso统一权限平台集成思路
作者其他创作
大纲/内容
获取配置
服务注册
不是
服务注册与发现
报文数据解密
同步适配方式
微应用
网关第一关：权限控制
判断是否跨站点请求CSRF
否
切换菜单
合法，返回sso用户信息
提示数据完整性被破坏
应用网关
安全请求方法
微服务
判断请求是否存在目录操纵符
是，提示非法请求连接
客户端
数据操作
方式一：SSO主动推送数据
是，提示非法请求方法
是否具备认证信息？（判断token是否为空或者是否失效）
ticket为空
不存在
业务服务
数据校验失败，提示非法参数注入
用户注销用户下线
是，提示非法重复请求
校验通过
判断是否存在token？
用户输入用户名密码登录
解密失败
服务间调用，获取用户权限信息
跳转至统一权限平台（SSO）登录页面
判断是否不安全的http请求方法
token有效
统一权限平台
存在
token失效
请求分发
SSO登录页面
是否是认证白名单中的请求？
调用sso接口，验证ticket
创建系统会话
用户权限服务
记录日志
网关第二关：安全策略
数据校验
NGINX代理分发请求，解决跨域问题NGINX方向代理，捕获响应状态码，定制错误页面NGINX通过配置，防御不安全的HTTP请求方法，CSRF，目录遍历
蓝色线框：前端微应用红色线框：统一权限平台（SSO）绿色线框：应用网关橙色线条：前端请求紫色线条：后端响应绿色线条：服务间调用蓝色线条：获取配置文件粉色线条：服务注册
用户认证
服务调用方式
存在，发送认证请求login?ticket=xxxxxxxxxxx
不具备
方式二：用户权限服务发送同步数据请求
返回token信息
认证失败
具备
权限判断用户是否具备该请求操作权限
判断是否重复请求
提示越权
不为空
1.记录越权日志2.发送告警邮件3.删除会话信息4.SSO用户注销
其他页面
判断是否存在ticket
数据完整性校验sm3
配置中心
认证成功，返回ticket
网关第三关：数据校验
系统主页
日志服务
操作请求
访问系统
ticket是否为空？
不合法
是，提示非法跨站点请求
ticket是否合法
是
收藏
0 条评论
下一页
