3、接口安全规范

接口安全规范

为了提高接口安全，在编写对外接口时候，特别接口安全的控制，否则很容易出现下面的漏洞。

用户权限检查

越权漏洞主要需要后端解决权限控制的问题，就需要解决登录控制和接口鉴权

• 登录控制，是逻辑上的细节控制，比如 单设备登录、登录环境检测、登录异常检测
• 接口鉴权根据不同的框架，有不同的出来方式

Shiro 框架

@RequiresRoles("super")
public string addAdmin(String username,String pwd){
    return adminService.addAdmin(username,pwd);
}

Spring Security 框架

“文件上传” 检查

文件上传漏洞就需要前端和后端使用黑名单、白名单严格限制上传文件的类型和大小。

• 前端控制，根据业务需求，指定上传文件格式、大小限制
• 后端控制，在上传接口添加文件类型检测、大小限制
• 运维控制，在 Nginx 负载均衡限制上传文件大小

前端控制

前端需要在文件上传组件增加上传之前的回调夯实，进行文件格式、大小的校验！

handleBeforeUpload (file) {
    // 控制的文件类型
    let allFileType = ['xls', 'doc', 'zip', 'rar', 'xlsx', 'docx', 'jpg', 'png', 'bmp']
    const isSuccessFile = allFileType.includes(file.name.split('.')[1])
    const is50M = file.size / 1024 / 1024 < 50;

    if (!isSuccessFile) {
        Message.error('请上传正确的文件格式!');
    }
    //限制文件上传大小
    if (!is50M) {
        Message.error("上传文件大小不能超过 50MB!");
    }
    return isSuccessFile && is50M;
},

后端控制：Jakarta Bean Validation API

后端扩展了基于 jsr303 校验规范的文件校验实现，实现文件格式、大小、mine类型的校验！

@ApiModel(value = "FileUploadDTO", description = "数据传输对象")
@Data
public class FileUploadDTO {

    @ApiModelProperty(value = "上传文件")
    @FileNotEmpty(required = true, message = "上传文件必传")
    private MultipartFile file1;

    @ApiModelProperty(value = "上传文件")
    @FileNotEmpty(required = true, extensions = {"zip", "rar"}, message = "仅支持rar、zip两种格式压缩包格式")
    private MultipartFile file2;

    @ApiModelProperty(value = "上传文件")
    @FileNotEmpty(required = true, maxSize = "100MB", message = "文件大小不得超过100MB。")
    private MultipartFile file3;

    @ApiModelProperty(value = "上传文件")
    @FileNotEmpty(required = true, extensions = {"zip", "rar"}, maxSize = "100MB", message = "仅支持rar、zip两种格式压缩包，且文件大小不得超过100MB。")
    private MultipartFile file4;

    @ApiModelProperty(value = "上传文件")
    @FileNotEmpty(required = true, mimeTypes = {"application/x-rar-compressed", "application/zip"},message = "仅支持 application/x-rar-compressed、application/zip 的MIME类型")
    private MultipartFile file5;

}

Nginx上传文件大小限制

Nginx默认的上传文件大小是有限制的，一般为2MB，如果你要上传的文件超出了这个值，将可能上传失败。

如果要修改这个大小限制，只需要打开nginx.conf文件。

vim /etc/nginx/nginx.conf

找到”client_max_body_size”，如果没有的话，在http部分加上它。设置你想要修改的大小，例如：

client_max_body_size 30M

然后重启Nginx使配置生效即可。

service restart nginx