基于token机制鉴权架构

市面常见的鉴权方式有两种,一种是基于session,另一种是基于token方式的鉴权,我们来浅谈一下两种 鉴权方式的区别。

两种鉴权方式对比

session

  1. 安全性:session是基于cookie进行用户识别的,cookie如果被截获,用户很容易受到跨站请求伪造的攻击。
  2. 扩展性:session是有状态的,是具有IP黏贴性和有中心化特性的,在分布式环境下,虽然每台服务器业务逻辑一样,但是session是保存在各个服务器中的,而且每个服务器内存是不共享的,如果使用session去实现分布式部署的话,需要使用其他的一些技术手段去实现,比如spring session,将session保存在第三方服务中,比如redis,这样一旦第三方服务出现问题,整个验权系统就会奔溃,在电商系统及高并发系统中的集群化处理显然是不合适的。
  3. 抗压能力:通常session是存储在内存中的,每个用户通过认证后都会将session存储在服务器内存中,当用户量增大的情况下服务器的压力也随之增大。

token

  1. 安全性:浏览器会将接收到的token值存储在Local Storage中,(通过js代码写入Local Storage,通过js获取,并不会像cookie一样自动携带)
  2. 扩展性:token是无状态的,是去中心化的,在分布式环境下,各个服务器中的服务只对token进行数据查询,它不需要在服务端保留用户信息或者会话信息,这意味着用户不需要考虑登录的是哪一台服务器,高效的解决了session扩展性的弊端。
  3. 抗压能力:token与session的不同主要在认证成功后,会对当前用户数据进行加密,生成一个加密字符串token,返还给客户端(服务器端并不进行保存)

基于token的鉴权方式

业界常用的授权标准有两种,一种是使用auth2,这种方式更适合于类似第三方授权登录,比如微信、微博、QQ信任登录业务。另一种是oauth,即第三方无需知道用户和密码就可以申请获得该资源的授权,更适用于对用户的权限校验并分配访问权限,比如常见的登录后分配可见资源(按钮、菜单等)类型网站。

Javashop电商系统 采用的是oauth方式的鉴权标准。以下是javashop电商系统对于token鉴权架构的详解。

  1. 登录
    服务端校验密码,成功后返回access_token和refresh_token,客户端记录上述token。
  2. 访问API
    在访问API之前解析access_token,并且查看是否过期,如果不过 期则请求API,如果过期,则要刷新令牌,在请求API。
  3. 刷新token
    携带有效期的refresh_token换回有效token,如果refresh_token过期,则需要用户重新登录。
  4. 注销
    请求注销api,服务器端和客户端应同时删除token的存储。

验权流程

  1. 客户端请求API
    携带access_token信息,如果生成环境不会直接携带access_token,会使用加密后的签名校验。祥见以下防重放机制。
  2. 获取token
    根据环境不同而有不同的获取token方式。
  3. 解析token
    通过JWT工具将token解析。
  4. 由redis读取token
    根据uid拼接key读取access_token, 如果不存在这个用户的token说明已经登出。
  5. 验证token
    判断次token是否属于此uid,判断token是否过期,如果过期则进行以下刷新token的流程。
  6. 注入权限
    如果token验证成功,根据user信息生成权限注入到spring安全上下文中。

刷新token流程

  1. 客户端请求API
    携带refresh_token,如果是生产环境不会直接携带refresh_token信息,详见以下防重放攻击。
  2. 获取token
    根据环境不同而有不同的获取token方式。
  3. 解析token
    通过JWT工具将token解析。
  4. token读取
    根据uid拼接key读取出access_token,如果不存在这个用户的token说明用户已经登出。
  5. 验证token
    判断此token是否属于此uid,判断token是否已经过期,如果过期,则返回refresh_token过期错误,此时用户需要重新登录。
  6. 刷新token
    如果refresh_token 验证成功,则重新生成access_token和refresh_token,上述有效期以当前时间向后计算,替换此用户在redis中的token,并将token返回给客户端。

防重放机制

一、 参数的读取

  1. 在生产环境时,不能直接传递token,而是要传递签名数据,服务器端验签后由Redis中获取签名。
  2. 如果是非生产环境,直接由header中读取token。
    二、 生产环境传递如下参数
    memberid (用户id)
    nonce(随机字串,6位)
    timestamp(当前时间戳,到秒)
    sign= md5( uid+ nonce + timestamp +token )
    三、 验证逻辑
  3. 验证时间戳
    判断时间戳是否起过60s,大于60s则判别为重放功击。
  4. 验证nonce
    首先验证nonce在 reids中是否存在,如果存在,则判别为重放功击,否则将nonce记录在redis中(key为:”nonce”+uid+”_”+nonce),失效时间为60s。
  5. 验证sign
    md5( uid+ nonce + timestamp +token ) 验证是签名是否通过。
  6. 验证token
    通过uid拿到token ,验证逻辑同验权流程。
  • 当然在不同的业务场景下实现方案是多种多样的,仅以此方案抛转引玉,供大家参考。

关于程序开发的一些小想法 part1

一、由scope(“prototype”)引发

  1. 昨天峰哥说了一个tag上必须加@scope(“prototype”)这样一个注解 。这个注解是将该类以多例的方式注入spring容器,能够解决多线程访问的线程安全问题;原本v52以前我们的action上也有这样的注释——因为Struts是类级别共享资源,所以在多线程访问时同样会有线程安全问题;修改为spring-mvc之后 ,spring-mvc是方法级别共享资源。所以不存在线程安全问题,因此不用加这样的注解。但是@scope(“prototype”)标注的类不应该被@autowired注入到其他类中,否则当有循环依赖的情况发生时,spring容器会无法初始化,抛出BeanCurrentlyInCreationException异常(参考开涛的博客-跟我学spring3  第三章3.2)
  2. 那么什么是循环依赖?

以maven项目为例,a项目依赖b,b项目依赖c,c项目依赖a,形成了一个闭合环就是循环依赖:

依据maven的生命周期,a项目在进行打包或者安装操作时,需要根据依赖先打包或者安装b,b项目在打包或安装时,需要先打包或安装c,c项目在打包或者安装时,需要先打包项目a;此时就会无限的循环下去直至内存溢出。

以上这种循环依赖无解。如果发生这种情况,一定是我们抽象的不对,假如a,b,c三个项目有共有的依赖,为什么不把他们抽象出来一个单独的项目d来由a,b,c共同依赖呢?

以上是使用maven项目构建时的一个小案例,上次峰哥再讲maven的时候我也提及过,我们在使用maven构建项目时可以考虑按功能抽象,也可以考虑按类型(core与模板分离)抽象。

循环依赖在任何具有依赖关系的技术以及体系中都存在。我们知道开发中如果表示类与类的关系时有以下几种表达方式:

泛化 、继承、实现、依赖、关联、聚合、组合

(参考文档http://www.cnblogs.com/olvo/archive/2012/05/03/2481014.html)

比如我们在将对象实例化并注入spring容器中时,会有一些相应的依赖关系。

 因为scope是singleton的 所以这种循环依赖没有报错(会在实例化过程中提供标识,全容器可见:参考开涛博客第三章3.2)假设此时有任意一个被注入的类scope是prototype的,就不会提供这种全容器可见的标识,因此会抛出上述异常。

因此在设计类的时候,也可以抽取公共部分把循环依赖改变成单向的依赖,这样反而更符合逻辑,更符合开发的规范。

我们从上面的描述,可以理解到面向对象编程存在依赖关系时,应尽量避免循环依赖,从类结构、包结构、项目结构都要尽量避免有循环依赖的出现。

在v62的开发时,会引入一个测试代码质量的工具jdepend,这个大家可以作为一个研究院的课题研究jdepend的使用。

二、我的思考

  1. 接口实现类空实现

我们在写一个功能的时候,包括我也经常做一下操作:在orderController中调用orderManager的一个没有的方法,然后直接在接口中直接增加一个方法,导致StoreOrderManager需要增加一个空实现的方法。

先说说这样做的缺点:会给我们的代码增加很多的冗余,我们的代码本身就很臃肿,一个类1500行,可读性差,可维护性差。

在开发过程中,我们要优先遵循最基本的六大开发原则:开闭原则、接口隔离原则(依赖最小接口)、单一职责原则(一个类要有一组相同功能)、依赖倒置原则(依赖于抽象,不依赖具体)、里氏替换原则(具体实现应该可以互相替换而不被依赖者察觉)、迪米特原则(尽少知道)

还有其他各种原则:我整理了一下,认为这两个比较重要:apo(Avoid Premature Optimization避免提前优化)原则、dry(Don’t repeat yourself)原则

从哪些方面来遵守这样的原则呢?

我们首先要抽象一个service层。我发现,我们之前的代码由于各种历史原因,有的校验在controller中进行,并且有的controller中还包含了部分业务逻辑,这样做是不合理的。Controller是一个控制中心,只负责各种功能性代码的调用与执行;而manager中除了操作数据库,还要处理业务,首先就违背了单一职责、接口隔离、迪米特等原则,再深层次的考虑,会使我们的维护变得困难,对我们功能的扩展造成麻烦。

因此我的构想,在未来的6.3 或者7.0版本(过年前后),所有人这个时间都不要提交代码,大约7-10天的一个周期,从包结构上以模块划分、降低包之间的耦合,从类代码上抽象出一个service层,controller中只写调度,service层只写逻辑,dao层只操作数据库—-从各个角度看,这样更合理;以前我工作的公司都是这么做的,从可用性来讲也存在一定的可行性。在重构期间我们遵循上述八条开发原则,将接口拆分成最小单位,实现拆成最小单位,职责拆成最小单位,从结构上来对我们的代码进行整体优化。

  1. 在讲一点开发体会。

1)      关于脑回路:

举个例子,项目经理说,李冰长得好漂亮。

这个时候,郑皓的脑回路是这样的:

李冰—-漂亮—-泡她

我的脑回路

李冰—-漂亮—-范冰冰—-李晨—-有好车—-阿斯顿马丁—-帕加尼—-意大利—-AC米兰—-巴乔……

所以我们一个团队在共同开发的一款产品的时候,会遇到一个问题,项目经理分配的任务有可能没有按照预期的方向进行。所以此时要实时沟通。但是实时沟通的成本太高,所以我们要基于约定来进行开发。约定就包括了流程图,pdm,原型,优秀的开发者还会涉及uml图。

约定好这些之后,才可以进行开发,细节上可以讨论,但是大原则是基本不变的。这有助于提高我们的开发效率。同时文档齐全,交付时连文档一起交付。

开发完成后还要写一个简单的功能说明文档。

失败的案例。

我们所有的软件工程讲的这些工程学的东西,无非是为了更好更快更高质量的生产,那么放入到程序中质量的体现就是代码的复用性以及扩展性(这里还要加上易用性)。

我在设计“装修”功能时,设计的时候,充分的考虑到了可能的扩展,提前预留了一些扩展的字段;现在看来,这种做法是违反我们开发的原则的(避免提前优化)。

在设计的时候为了开发的方便性,暴露了很多内部逻辑给前端人员,这样用起来很困难。

封装可以解决易用的问题。

预告,下次part2将maven多模块项目的真实面目,敬请期待。

eclipse下svn多分支项目切换及合并

Javashop bug同步解决方案

一、核心问题

在我们处理bug的过程中,经常发生以下场景:解决trunk版bug的同时需要解决v6.1.1版本。

这时我们就要手动切换workspace,手动覆盖;这样搞起来很麻烦;

而当定版之后,在trunk中解决了大量的bug,如果一个一个的去tags版中修复,工作量不亚于重新解决一遍bug。

造成这个问题的主要原因是,我们的svn使用的不够熟练,没有把svn的用法完全提现出来。

二、解决方案

(使用eclipse的subversion插件中的 切换以及合并结合)

场景:v6.1.1定版后第三天,trunk版又解决了大量的bug。

首先,我们要把trunk版的代码down下来,并且保证本地版本最新。

 

Step1:在trunk的workspace中 右键javashop项目-team-切换:

 

Step2:在弹出dialog中输入需要切换的分支的url;例如

svn://newsvn.javamall.com.cn/product/javamall/tags/release_6.1.1/javashop

 

Step3:

切换完分支之后,右键team-合并

 

Step4:

图中的选项含义分别是:

1) 从主干合并到分支

2) 从分支合并到主干

3) 将主干上的修改合并到分支(使用collabnet)

4) 合并2个分支到主干

5) 从主干到分支,手工指定不需要合并的修改

6) 从主干到分支,手工指定要合并的修改

选择第一个,会弹出如下窗口:

 

 

点击finish

 

有变化的文件  有冲突的文件都会显示出来。Svn会自动合并能够合并的代码,而由冲突的则需要手动处理。手动处理完成后,提交即可。

关于maven 项目install报错的问题以及解决办法

  • 问题

近日有很多童鞋反映,javashop 6.1及6.0版本执行mvn install时报错,报错信息大致如下:

经过测试发现,在eclipse环境下运行mvn install正常,而shell下使用指令mvn install则会报错;分析后发现是因为eclipse环境能够识别我们的java resourse,而shell或者命令行下无法识别我们的java resource。

  • 标准的maven项目的目录结构是:src/main/java  
  • 标准的maven项目的test目录结构是:src/test/java
  • 标准的maven项目的配置文件路径是:src/main/resources

当我们不使用这种标准的maven项目结构时,在shell下 执行mvn install 就会发生找不到类或者找不到资源的问题。

  • 解决办法
  • 引入build-helper-maven-plugin插件

    <!– 增加更多的Source和Test Source目录插件 –>
    <plugin>
         <groupId>org.codehaus.mojo</groupId>
        <artifactId>build-helper-maven-plugin</artifactId>
        <version>1.12</version>
    </plugin>

  •  配置需要添加的资源目录

<plugin>
<groupId>org.codehaus.mojo</groupId>
<artifactId>build-helper-maven-plugin</artifactId>
<executions>
<execution>
<id>add-source</id>
<phase>generate-sources</phase>
<goals>
<goal>add-source</goal>
</goals>
<configuration>
<sources>
<source>src/eop</source>
<source>src/base</source>
</sources>
</configuration>
</execution>

<execution>
<id>add-resource</id>
<phase>generate-resources</phase>
<goals>
<goal>add-resource</goal>
</goals>
<configuration>
<resources>
<resource>
<directory>src/base</directory>
<includes>
<include>**/*.xml</include>
<include>**/*.html</include>
<include>**/*.css</include>
</includes>
</resource>
<resource>
<directory>src/eop</directory>
<includes>
<include>**/*.xml</include>
<include>**/*.html</include>
<include>**/*.css</include>
</includes>
</resource>
</resources>
</configuration>
</execution>

</executions>

</plugin>

  • 配置eclipse lifecycle-mapping

<pluginManagement>
<plugins>
<!–This plugin’s configuration is used to store Eclipse m2e settings
only. It has no influence on the Maven build itself. –>
<plugin>
<groupId>org.eclipse.m2e</groupId>
<artifactId>lifecycle-mapping</artifactId>
<version>1.0.0</version>
<configuration>
<lifecycleMappingMetadata>
<pluginExecutions>
<pluginExecution>
<pluginExecutionFilter>
<groupId>
org.codehaus.mojo
</groupId>
<artifactId>
build-helper-maven-plugin
</artifactId>
<versionRange>
[1.12,)
</versionRange>
<goals>
<goal>add-source</goal>
<goal>add-resource</goal>
</goals>
</pluginExecutionFilter>
<action>
<ignore></ignore>
</action>
</pluginExecution>
</pluginExecutions>
</lifecycleMappingMetadata>
</configuration>
</plugin>
</plugins>
</pluginManagement>

配置完成之后再试试,看看是不是问题已经解决了?

如果您购买了javashop 的61版,我们已经更新了pom.xml文件哦,只需要更新pom文件即可。

  • 另外在mvn install b2b2c 之前  需要先mvn install javashop

从零开始写微信小程序(一)—–开发环境搭建

最近微信小程序相关的新闻铺天盖地,各种言论诸如“app将死,微信当立”,搞的笔者十分好奇,于是在一个阳光明媚的早晨,对微信小程序一探究竟。

首先下载开发环境:https://mp.weixin.qq.com/debug/wxadoc/dev/devtools/download.html

下载并安装完成后,启动开发工具:

由于我已经有一个项目了,所以图中有个demo2。

点击添加项目,会让你填写appid,项目名称,项目路径。由于目前正在内测,所以如果没有appid可以选择无appid.项目名称和项目路径自填。

如果勾选了创建quickstart选项,则会在工作空间创建一个简单的项目:

点击添加项目,一个简单的helloword程序就搭建成功了。

下篇文章,将为您介绍微信小程序开发的基本配置,敬请期待。

微信小程序官网地址:https://mp.weixin.qq.com/debug/wxadoc/dev/

本文有javashop提供,享有一切相关版权;转载请注明出处。

javashop唯一官网地址:多用户商城系统

sql server 注意事项(二)

sql server与mysql最主要的区别是 sql server对sql的语法要求非常严格 ,而mysql对sql的语法容错较好。

因此当我们在写一些包含分组(group by)的语句时 ,select 后面的字段 必须包含在group by子句或者聚合函数中.

select * from es_order group by member_id;

在mysql中可以正确执行;而在sqlserver中,则会报错:

因此我们在写sql语句时,为了更好的兼容性,一定要写的严谨一些;而多数情况下,不兼容多是因为sql语句不够严禁造成的。

另外,mysql、oracle、sqlserver不兼容也有可能是各自的内置函数不同导致,例如:

mysql和oracle共同支持instr()函数,而sqlserver不支持此方法,如果需要使用按指定字段、指定顺序排序的话,则需要使用charindex函数

从Integer比较引发的一起血案.

某日,javashop的小李在检查代码时,发现了一个比较严重的问题.

笔者看完之后很纳闷,为啥Integer的比较不能用==呢?

我们平时声明一个int类型的a 和一个int类型的b,完全可以使用==来比较,虽然Integer是引用类型,但是他一定是做了什么处理,不然我在比较的时候,为啥得到的结果和预期的时候一致呢?

带着这个疑问,笔者做了一个实验:

两次比较的结果竟然不一样,笔者瞬间就惊了个呆,原来自己的理解一直是错的,实在是愧对老司机这个称号!

但是为什么第一次比较的结果是一样的呢?笔者又做了一次实验,发现在-128到127这个范围之间,使用==比较时结果是相等的,而超出了这个范围,使用==比较往往得不到预期的结果.

一定是做了什么特殊的处理,Integer和其他妖艳贱货的引用类型不一样!

于是笔者仔细查看了Integer源码,发现了这样一段代码:

原来在对Integer进行赋值操作的时候 即Integer a=1时,进行了装箱操作,使用的是上图中的方法.当传入的值在-128-127之间是,会从java的缓冲池获取一个对象.而==符号比较的是引用类型的地址,返回缓冲池对象时,地址相同,所以==会生效.

同样的道理,我们在使用String类型比较的时候

String a=”abc”;

String b=”abc”;

a==b返回的结果同样是true,因为abc也是放入了字符串常量池,使用上述方法赋值时引用地址相同;反之,如果在对Integer赋值时使用

Integer a=new Integer(1);

Integer b=new Integer(1);

a==b的返回结果就变成false啦!

所以在对引用类型进行比较时,应使用equals()方法,而不要使用==符号

Javashop快钱支付插件使用指南

一、生成证书

这个过程请参考快钱提供的文档

可以点击这里下载:http://pan.baidu.com/s/1jIETaM6

如果要使用沙箱,使用他的demo中的两个证书即可。

快钱Demo下载

二、配置快钱插件

下面我们以使用快钱的Demo中的证书配合快钱沙箱举例如何配置:

1.其中的URL设置为快钱沙箱的提交地址:

https://sandbox.99bill.com/gateway/recvMerchantInfoAction.htm

如果你是在正式环境,要填写为:

https://www.99bill.com/gateway/recvMerchantInfoAction.htm

2.私钥和公钥分别是demo中的:

这两个

将准备好证书(沙箱的或正式的)放在服务器上的一个位置,如:

/home/key/tester-rsa.pfx

/home/key/99bill[1].cert.rsa.20140803.cer

然后将上述地址分别配置在相应的输入框中

3.证书密码

如果是沙箱环境,证书密码是123456

如果是正式环境,证书密码是你生成证书时的密码

点击保存后,就可以使用快钱支付了。

 

 

javashop中paypal使用指南

一、开发者地址:

https://developer.paypal.com

使用在paypal上注册的账号登陆即可,

二、沙箱账号

paypay自动会为你创建两个沙箱账号,一个商家,一个买家。在accounts菜单中可以看到:

点击profile可以自行修改相应的密码

三、创建APP

登陆后,访问:https://developer.paypal.com/developer/applications/

点击”create app”

点击”Crate App” 来完成创建,成功后在列表中会出现:

四、Client ID和Secret

点击应用名字,进入应用详情:

在这里可以查看Client ID和Secret

注意:默认是沙箱的,在右上角有切换到正式环境的菜单(上图,圈红处)

五、IPN

Paypal是通过IPN来通知Javashop的付款状态的,请参考如下设置:

(以沙箱为例,正式环境界面略有不同,但菜单名称是一样的)

沙箱登陆http://www.sandbox.paypay.com/

用户名和密码就是在开发者中的account菜单中的商家账号和密码。

点击用户信息:

即时付款通知习惯设定:

点击编辑ipn设置,进入到Ipn设置页面:

点击接收付消息,然后在URL中输入以下地址:

xxxx/api/shop/s_paypalPaymentPlugin_payment-callback.do

将其中的xxx换为你的网站域名,请注意不要带Http,否则paypal不允许输入。

当用户付款完成后,Paypal会通过IPN来通知javashop,Javashop对消息进行验证成功后更改订单状态为付款状态。

所以Paypal的调试必须是在公网的域名下,否则Paypal通知不到的。

六、编码设定

IPN的消息推送要和Javashop的编码保持一致才能校验成功,请按下面进行设置:

点击用户信息->语言编码:

然后选择 “更多选项”:

然后选择UTF-8

点击保存完成编码的设置。

至此Paypal的配置已经完成,接下来在Javashop的后台中设置Paypal的相应参数:

依次点击:设置->支付方式->添加->选择Paypal插件,然后填入相应的参数:

设置相应参数后,即可使用Paypal来付款了。

值得注意的是:

在正式环境中,在中国,无法大陆为大陆付款,所以如果你要测试正式环境的话,需要在申请一个外国的账号来完成测试。

Javashop Tab页jQuery插件使用指南

一、概述

Javashop Tab页jQuery插件是一款基于jquery插件的Tab页生成器。

可用于快速生成Tab页面,有如下特点:

  •  基于jquery插件的风格,只需引入一个插件脚本和按照规格格式编写HTML,其它不用关心,生成方便灵活
  •  同个页面可生成多个Tab页,互不干扰

效果预览

 

 

二、使用说明

1.基本使用指南

1.引入选器插件:

<script type="text/javascript" 
src="/adminthemes/new/js/jquery.Tab.js"></script>

2.编写HTML:

<div id="test_tab" style="margin:20px;">
    <div class="contentTab">
        <ul class="tab">
            <li tabid="one" class="active" >第一</li>
            <li tabid="two" >第二</li>
        </ul>
    </div>

    <div class="tab-page">
        <div tabid="one" class="tab-panel" >
            <h1>我是第一个内容</h1>
        </div>
        <div tabid="two" class="tab-panel" style="display: none;" >
             <h1>我是第二个内容</h1>
        </div>
    </div>
</div>

这里需要注意的是,这个HTML格式并不是全部规定死的。只要有ul 和 class为tab-page的div,其他元素可随意增加,样式随意写。

3.调用插件生成选择器(选择需要悬浮的元素)

<script type="text/javascript">

$(function(){

    $("#test_tab").Tab();

});

</script>

如上代码在id为test_tab的div中实现了tab页。