前面十讲左右是在讲网关，路由。拦截日志，监控，限流，熔断，鉴权等等，但如果我不走网关直接调用后台也是行的通的。

使用SpringCloud架构后我们希望所有的请求都需要经过网关才能访问，在不作任何处理的情况下我们是可以绕过网关直接访问后端服务的。

我们希望所有的请求都需要经过网关才能访问。那么问题来了，如何进行处理呢？

我们今天的议题就是 如何防止请求绕过网关直接访问后端服务?

解决方案

防止绕过网关直接请求后端服务的解决方案主要有三种：

• 使用Kubernetes部署

在使用Kubernetes部署SpringCloud架构时我们给网关的Service配置NodePort，其他后端服务的Service使用ClusterIp，这样在集群外就只能访问到网关了。

• 网络隔离

后端普通服务都部署在内网，通过防火墙策略限制只允许网关应用访问后端服务。

• 应用层拦截

请求后端服务时通过拦截器校验请求是否来自网关，如果不来自网关则提示不允许访问。

作为一个后端开发人员，前面运维处拦截。代码也要进行拦截！

这里我们着重关注在应用层拦截这种解决方案，顺便温习一下最常用的stater。

实现思路

实现思路其实也很简单，在请求经过网关的时候给请求头中增加一个额外的Header，在后端服务中写一个拦截器，判断请求头是否与在网关设置的请求Header一致，如果不一致则不允许访问并给出提示。

当然为了防止在每个后端服务都需要编写这个拦截器，我们可以将其写在一个公共的starter中，让后端服务引用即可。而且为了灵活，可以通过配置决定是否只允许后端服务访问。

接下来我们看看核心代码。

实现过程

在网关cloud-gateway模块编写网关过滤器,过滤器定义可看前面几讲，在请求经过网关时添加额外的Header，为了方便这里直接设置成固定值。如何做成动态值，可看前面文章都有说明！

@Component 
@Order(0) 
public class GatewayRequestFilter implements GlobalFilter { 
 
    @Override 
    public Mono<Void> filter(ServerWebExchange exchange, GatewayFilterChain chain) { 
        byte[] token = Base64Utils.encode((CloudConstant.GATEWAY_TOKEN_VALUE).getBytes()); 
        String[] headerValues = {new String(token)}; 
        ServerHttpRequest build = exchange.getRequest() 
                .mutate() 
                .header(CloudConstant.GATEWAY_TOKEN_HEADER, headerValues) 
                .build(); 
 
        ServerWebExchange newExchange = exchange.mutate().request(build).build(); 
        return chain.filter(newExchange); 
    } 
 
} 

建立公共Starter模块cloud-component-security-starter

• 编写配置类，用于灵活控制服务是否允许绕过网关

@Data 
@ConfigurationProperties(prefix = "javadaily.cloud") 
public class CloudSecurityProperties { 
 
    /** 
     * 是否只能通过网关获取资源 
     * 默认为True 
     */ 
    private Boolean onlyFetchByGateway = Boolean.TRUE; 
 
} 

• 编写拦截器，用于校验请求是否经过网关

public class ServerProtectInterceptor implements HandlerInterceptor { 
 
    private CloudSecurityProperties properties; 
 
    @Override 
    public boolean preHandle(@NonNull HttpServletRequest request, @NonNull HttpServletResponse response, @NonNull Object handler){ 
 
        if (!properties.getOnlyFetchByGateway()) { 
            return true; 
        } 
 
        String token = request.getHeader(CloudConstant.GATEWAY_TOKEN_HEADER); 
 
        String gatewayToken = new String(Base64Utils.encode(CloudConstant.GATEWAY_TOKEN_VALUE.getBytes())); 
 
        if (StringUtils.equals(gatewayToken, token)) { 
            return true; 
        } else { 
            ResultData<String> resultData = new ResultData<>(); 
            resultData.setSuccess(false); 
            resultData.setStatus(HttpServletResponse.SC_FORBIDDEN); 
            resultData.setMessage("请通过网关访问资源"); 
            WebUtils.writeJson(response,resultData); 
            return false; 
        } 
    } 
 
    public void setProperties(CloudSecurityProperties properties) { 
        this.properties = properties; 
    } 
} 

• 配置拦截器

public class CloudSecurityInterceptorConfigure implements WebMvcConfigurer { 
 
    private CloudSecurityProperties properties; 
 
    @Autowired 
    public void setProperties(CloudSecurityProperties properties) { 
        this.properties = properties; 
    } 
 
    @Bean 
    public HandlerInterceptor serverProtectInterceptor() { 
        ServerProtectInterceptor interceptor = new ServerProtectInterceptor(); 
        interceptor.setProperties(properties); 
        return interceptor; 
    } 
 
    @Override 
    public void addInterceptors(InterceptorRegistry registry) { 
        registry.addInterceptor(serverProtectInterceptor()); 
    } 
} 

• 编写starter装载类

@EnableConfigurationProperties(CloudSecurityProperties.class) 
public class CloudSecurityAutoConfigure{ 
 
    @Bean 
    public CloudSecurityInterceptorConfigure cloudSecurityInterceptorConfigure() { 
        return new CloudSecurityInterceptorConfigure(); 
    } 
 
} 

• 建立资源文件spring.factories，配置Bean的自动加载

org.springframework.boot.autoconfigure.EnableAutoConfiguration=\ 
   com.javadaily.component.security.configure.CloudSecurityAutoConfigure 

• 应用 在后端服务配置文件中添加属性配置，默认只能通过网关访问

javadaily: 
  cloud: 
    onlyFetchByGateway: true 

• 经过以上几步，一个公共的Starter模块就构建完成了。

  后端服务引用此公共Starter模块即可，以account-service为例

<dependency> 
 <groupId>com.jianzh5.cloud</groupId> 
 <artifactId>cloud-component-security-starter</artifactId> 
</dependency>