网易内推联系我哦

出现问题

最近 Vue 项目中使用 axios 组件，在页面交互中发现 axios 会发送两次请求，一种请求方式为 OPTIONS，另外一种为自己设置的（如 GET、POST 等等）。

XSS 原理

XSS 攻击的原理是利用前后端校验不严格，用户将攻击代码植入到数据中提交到了后台，当这些数据在网页上被其他用户查看的时候触发攻击。

举例：用户提交表单时把地址写成：

杭州市<script>for(var i=0;i<9999;i++){alert(i)}</script>

上面的数据如果没有在后台做处理，当数据被展示到网页上的时候，会在网页上弹出 N 个 alert 框，当然实际攻击肯定是比这个要复杂的多的。

接口安全

放到互联网上的接口数据，直接采用明文的话，就很容易被抓包，然后进行修改或者被恶意植入木马，本文研究一下怎么样对接口进行数据加密。

接口加密的作用：

1. 防止恶意调用攻击
2. 防止篡改信息攻击
3. 防拦截攻击，数据被截取后进行修改后重新放回去
4. 防止数据泄漏攻击

重要方法

/*获取参数的值数组*/
Object[] args = point.getArgs();                                    //  [1] 参数的值

/*获取目标对象(被加强的对象)*/
Object target = point.getTarget();

/*获取signature 该注解作用在方法上，强转为 MethodSignature*/
MethodSignature signature = (MethodSignature) point.getSignature();

/*方法名*/
String signatureName = signature.getName();                         //  findById

/*参数名称数组(与args参数值意义对应)*/
String[] parameterNames = signature.getParameterNames();            //  [i] 参数名称

/*获取执行的方法对应Method对象*/
Method method = signature.getMethod();                              
//  public void com.jueee.test.service.UserService.findById(int)

/*获取返回值类型*/
Class returnType = signature.getReturnType();                       //  void

/*获取方法上的注解*/
OperationLog operationLog = method.getDeclaredAnnotation(OperationLog.class);

request / response

// 获取request/response(ThreadLocal模式)
RequestAttributes requestAttributes = RequestContextHolder.getRequestAttributes();
ServletRequestAttributes servletRequestAttributes = (ServletRequestAttributes) requestAttributes;
HttpServletRequest request = servletRequestAttributes.getRequest();
HttpServletResponse response = servletRequestAttributes.getResponse();
HttpSession session = request.getSession();

swagger 是一个很使用的工具，但正常使用时，我们的接口需要登陆才能访问的。即登陆时，要传一个登陆后的 token 才能访问的。

那这个怎么设置，才可以让所有接口都允许登陆后访问呢？

IOC 控制反转

IOC—Inversion of Control，即 “控制反转”，不是什么技术，而是一种设计思想。

在 Java 开发中，IOC 意味着将你设计好的对象交给容器控制，而不是传统的在你的对象内部直接控制。

所谓 IOC，对于 Spring 框架来说，就是由 Spring 来负责控制对象的生命周期和对象间的关系。

Spring 所倡导的开发方式就是如此，所有的类都会在 Spring 容器中登记。所有的类的创建、销毁都由 Spring 来控制，也就是说控制对象生存周期的不再是引用它的对象，而是 Spring。对于某个具体的对象而言，以前是它控制其他对象，现在是所有对象都被 Spring 控制，所以这叫控制反转。