Hessian 权限认证

最新推荐文章于 2019-01-24 20:02:46 发布

原创最新推荐文章于 2019-01-24 20:02:46 发布 · 189 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#hessian

Java 专栏收录该内容

100 篇文章

订阅专栏

本文详细介绍了在使用Hessian进行对象序列化时，如何通过添加用户名密码验证和Token来提升安全性。包括修改服务器端配置以实现权限验证，以及调整客户端连接方式以发送验证信息。同时讨论了在实现安全措施后可能对程序性能的影响。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Hessian 权限认证
Hessian的一些基本简介已经在上一节已经全部介绍了，上一节还介绍了Hessian是把对象序列化为二进制流的形式在http信道中传输，那么对于安全性高的应用不应该采用hessian(比如网上支付等)、可以加一些权限验证，比如在服务器端加用户名，密码验证,然后在客户端提供用户名和密码，可如此一来用户名密码也会被捕获，毕竟用户名密码都在Http请求中，如果安全级别特别高的可以加Token，也就是加一层发送前的预备，如下图:

这样的话，既使请求被拦截，他们得到的也只不过是一个过期的Token，无法再一次发送到服务端，当然哪个程序都一样，安全级别一高就会添加很多的操作，就像开着防火墙网速会受一定的影响.下面我来介绍简单的权限认证，后续再结合实践优化程序.
修改服务端程序如下:

public class YclHessianServiceExporter extends HessianServiceExporter { 
	public static final String AUTH = "ycl";
	@Override
	public void handleRequest(HttpServletRequest request, HttpServletResponse response)
			throws ServletException, IOException {
		String auth = request.getHeader("auth");
		if(auth == null || !auth.equalsIgnoreCase(AUTH)){ 
			//记录异常日志
			return ;
		}
		super.handleRequest(request, response);
	}

}

服务器配置修改如下:

<bean name="/PersonManager" 
		class="org.springframework.remoting.caucho.YclHessianServiceExporter">
		
		<!--  需要导出的目标bean--> 
        <property name="service" >
        	<ref bean="personManager" />
        </property> 
        <!--  Hessian服务的接口--> 
        <property name="serviceInterface" value="com.module.PersonManager"/>  
	</bean>

修改客户端程序如下(这是一个代理工厂，每一次客户端通过代码连接服务器时都会先通过URL来得到服务器端的连接)

public class YclHessianProxyFactory extends HessianProxyFactory{

	@Override
	protected URLConnection openConnection(URL url) throws IOException {
		URLConnection conn = super.openConnection(url);
        conn.setRequestProperty("AUTH", "ycl");
        return conn; 
	}

}

客户端配置如下:

<!-- PersonManager服务 -->
	<bean id="personManagerClient"
		class="org.springframework.remoting.caucho.HessianProxyFactoryBean">
		<property name="serviceUrl">
			<value>
				http://localhost/Hessian/remoting/PersonManager
			</value>
		</property>
		<property name="serviceInterface">
			<value>com.module.PersonManager</value>
		</property>
		  <property name="proxyFactory">
            <bean class="com.caucho.hessian.client.YclHessianProxyFactory"/> 
       </property> 
	</bean>

如此一来，在服务器启动的时候接收信息时，就会添加验证，如果Auth验证不通过，那么就不会再继续执行以下的程序.这种方式是能够解决权限验证方式，但是如何添加Token,使用这种方式如果请求被拦截，服务还是可以被窃取,这将在下一节学习，这一节要结合上一节.

原文：http://a123159521.iteye.com/blog/742718