发表新帖

发表新帖

关于新版把鉴权放在gateway的安全疑问

Blade 未结

关注举报

 1  1293

bluerose 剑圣 2020-09-10 15:39

悬赏：5

目前baldex最新版将鉴权放在了gateway，默认关闭了各个工程内secure模块的鉴权功能。

但是如果这样，rest api地址可以绕开网关地址直接访问，怎么保障安全呢。

例如有一个这样的api：https://saber.bladex.cn/api/blade-system/menu/top-menu

这个地址是经过网关的地址。

那么https://saber.bladex.cn:port/api/menu/top-menu这个地址也可以访问到api，这时岂不是就绕过了gateway的鉴权？

也就是说如果知道服务的端口，那么是可以直接访问到这个api，而不用从网关过。

请问怎么处理这个问题呢？谢谢

1条回答

admin - BladeX作者

2020-09-10 17:05

部署的时候，只会对外开放gateway的端口服务，其他的服务是不会开放的，所以不存在通过服务端口可以直接调用到接口的情况。
把接口鉴权放到网关可以做很多拓展，所以会有很多架构师选择这种方案。

另外关于你的疑问可以这么解释一下：
小明新换了一个防盗门（网关鉴权），但是晚上睡觉的时候把门关上（开启网关鉴权），把钥匙放在了门口（对外开放业务服务端口），门被小偷轻松打开（不通过网关，直接调用服务端口），丢失了财物（数据不通过鉴权就可以获取），担心防盗门不安全（担心网关鉴权没有用）

3 讨论(1)
评论:

提交评论
- 加载中...

官方产品

BladeX 企业级开发平台 BladeX 可视化数据大屏

官方新品

BladeX 物联网开发平台

热议问题: 框架自带的easyExcel导入如何实现数据校验，并且将校验失败的数据导出 1; redislock读取实体类多个属性值怎么使用 1; boot版本如何实现在原有的拦截器上增加自定义的拦截 1; cloud版本权限这块如何细化到控制按钮，表格单元格层级权限呢？ 1; 生产环境提示无法加载doc 1; 生产环境无法加载日志 1; 登陆之后routes方法 1; 2 -- org.springblade.core.tenant.exception.TenantDataSourceException: argument "content" is null 2; saber3前端token为空 1; 想做一个防止接口抖动/重复提交的功能，框架有现有的工具类吗？ 1

扫一扫访问 Blade技术社区移动端