Java 有没有办法确保请求来自受信任的UI应用程序？
因此，为了给您一个背景，我们有一个后端应用程序，它有大量的API（SpringBootFramework）。还有一个UI应用程序，它混合了React和Ember.js。我们正在使用OAuth2.0访问令牌 UI的每个页面都可能使用大量API资源，页面的权限（包括操作和按钮）与直接访问API的权限是分开管理的 现在的问题是为了阻止任何拥有访问令牌的人直接调用任何API。为了阻止这种情况，我们决定将每个页面中使用的服务/资源或按钮链接到路由url（Ember.js routes），以便根据用户对这些路由的权限，确定它们是否可以访问后端的特定服务。换句话说，如果用户直接向服务发送请求，并说服务链接到了UI世界中他无权访问的页面，则安全检查会阻止他 然而，这正成为一个令人头痛的问题。页面不断变化，一些服务被删除或添加新服务，我们必须不断维护SQL脚本以保持两者之间的链接。现在要提到的是，由于UI（路由）的层次结构，这变得更加复杂 现在我想知道，如果我们能确定一个请求来自一个UI，那么我们就不需要检查API的权限，如果他们没有访问权限，UI就不会被呈现，那么我们可以安全地让请求进入并得到服务。如果同一个用户使用他的UI令牌直接访问API，我们只需阻止它。如果用户需要直接访问API，那么他们必须获得用于API的特殊令牌（一些用户可能需要直接使用API进行访问） 现在的问题是，我们如何确定请求来自UI，并且UI页面是我们信任的页面？我在互联网上搜索过，但找不到任何框架或协议。有可能吗 我们如何确定请求来自UI，并且该UI页面是我们信任的页面 你可能不能。要做到这一点，您需要一个可信的执行环境，换句话说，一个用户不能完全控制的环境。这方面的例子包括信用卡销售点机器、有线/卫星电视盒和ARM TrustZone。这些环境允许您在客户端设备上存储用户看不到的秘密。然后，您可以使用此秘密在受信任的环境中与代码通信，而用户无权访问它 但是，用户的web浏览器不是受信任的执行环境。用户可以在您的网页上看到所有cookie、本地和会话存储等，他们可以使用它们通过类似curl的方式直接发出请求，从而使请求看起来与来自浏览器的请求相同 这不是问题，但你该怎么办？Java 有没有办法确保请求来自受信任的UI应用程序？,java,spring-boot,ember.js,user-permissions,Java,Spring Boot,Ember.js,User Permissions,因此，为了给您一个背景，我们有一个后端应用程序，它有大量的API（SpringBootFramework）。还有一个UI应用程序，它混合了React和Ember.js。我们正在使用OAuth2.0访问令牌 UI的每个页面都可能使用大量API资源，页面的权限（包括操作和按钮）与直接访问API的权限是分开管理的 现在的问题是为了阻止任何拥有访问令牌的人直接调用任何API。为了阻止这种情况，我们决定将每个页面中使用的服务/资源或按钮链接到路由url（Ember.js routes），以便根据用户对这些
考虑到您现在的设置方式，这听起来可能是一件痛苦的事情，但是请在API上执行所有的安全和许可。如果您不希望用户使用他们的令牌自动调用API，那么对令牌实施速率限制。
重新审视一下您最初使用此设置的原因也可能很有用。用户是否直接调用API来重载服务器？用户体验关注的是用户在页面上看到的内容吗？关于用户可以访问哪些数据和操作，这是一个访问问题吗？如果我完全错过了，很抱歉，但这不是一个简单的跨源资源共享（CORS）案例吗 您可以将每个控制器上允许的COR设置为UI/前端域的COR
@CrossOrigin(value = "example.com")
@RestController
public class PrivateController {
}
控制器现在将拒绝任何不是来自
example.com