一、简介
任何一个软件系统，都不可避免的会碰到【信息安全】这个词，尤其是对于刚入行的新手，比如我，我刚入行的时候，领导让我做一个数据报表导出功能，我就按照他的意思去做，至于谁有权限操作导出，导出的数据包含敏感信息应该怎么处理，后端接口是不是做了权限控制防止恶意抓取，这些问题我基本上不关心，我只想一心一意尽快实现需求，然后顺利完成任务交付。
实际上，随着工作阅历的增加，你会越来越能感觉到，实现业务方提的需求，只是完成了软件系统研发中的【能用】要求；服务是否【可靠】可能需要从架构层和运维方面去着手解决；至于是否【安全】、更多的需要从【信息安全】这个角度来思考，尤其是当我们的软件系统面对外界的恶意干扰和攻击时，是否依然能保障用户正常使用，对于大公司，这个可能是头等大事，因为可能一个很小很小的漏洞，一不小心可能会给公司带来几千万的损失！
最常见的就是电商系统和支付系统，尤其是需求旺季的时候，经常有黑客专门攻击这些电商系统，导致大量服务宕机，影响用户正常下单。
像这样的攻击案例每天都有，有的公司甚至直接向黑客气妥，给钱消灾！
但是这种做法肯定不是长久之计，最重要的还是主动提升系统的【安全】防御系数。
由于信息安全所涉及的要求内容众多，今天，我在这里仅仅向大家介绍其中关于【审计日志】的要求和具体应用，后续也会向大家介绍其他的要求。
【审计日志】，简单的说就是系统需要记录谁，在什么时间，对什么数据，做了什么样的更改！这个日志数据是极其珍贵的，后面如果因业务操作上出了问题，可以很方便进行操作回查。
同时，任何一个 IT 系统，如果要过审，这项任务基本上也是必审项！
好了，需求我们清楚了，具体应用看下面！
二、实践
实现【审计日志】这个需求，我们有一个很好的技术解决方案，就是使用 Spring 的切面编程，创建一个代理类，利用afterReturning和afterThrowing方法来实现日志的记录。
具体实现步骤如下

• 先创建审计日志表

CREATE TABLE `tb_audit_log` ( `id` bigint(20) NOT NULLCOMMENT '审计日志，主键ID', `table_name` varchar(500) DEFAULT '' COMMENT '操作的表名，多个用逗号隔开', `operate_desc` varchar(200) DEFAULT '' COMMENT '操作描述', `request_param` varchar(200) DEFAULT '' COMMENT '请求参数', `result` int(10) COMMENT '执行结果，0:成功，1:失败', `ex_msg` varchar(200) DEFAULT '' COMMENT '异常信息', `user_agent` text COLLATE utf8mb4_unicode_ci COMMENT '用户代理信息', `ip_address` varchar(32) NOT NULL DEFAULT '' COMMENT '操作时设备IP', `ip_address_name` varchar(32) DEFAULT '' COMMENT '操作时设备IP所在地址', `operate_time` datetime NOT NULL DEFAULT CURRENT_TIMESTAMP COMMENT '操作时间', `operate_user_id` varchar(32) DEFAULT '' COMMENT '操作人ID', `operate_user_name` varchar(32) DEFAULT '' COMMENT '操作人', PRIMARY KEY (`id`) ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci COMMENT='审计日志表';

• 然后编写一个注解类

@Retention(RetentionPolicy.RUNTIME) @Target({ElementType.TYPE,ElementType.METHOD}) @Documented public @interface SystemAuditLog {/** * 操作了的表名 * @return */ String tableName() default ""; /** * 日志描述 * @return */ String description() default ""; }

• 接着编写一个代理类

@Component @Aspect public class SystemAuditLogAspect {@Autowired private SystemAuditLogService systemAuditLogService; /** * 定义切入点，切入所有标注此注解的类和方法 */ @Pointcut("@within(com.example.demo.core.annotation.SystemAuditLog)|| @annotation(com.example.demo.core.annotation.SystemAuditLog)") public void methodAspect() { }/** * 方法调用前拦截 */ @Before("methodAspect()") public void before(){ System.out.println("SystemAuditLog代理 -> 调用方法执行之前......"); }/** * 方法调用后拦截 */ @After("methodAspect()") public void after(){ System.out.println("SystemAuditLog代理 -> 调用方法执行之后......"); }/** * 调用方法结束拦截 */ @AfterReturning(value = "https://www.it610.com/article/methodAspect()") public void afterReturning(JoinPoint joinPoint) throws Exception { System.out.println("SystemAuditLog代理 -> 调用方法结束拦截......"); //封装数据 AuditLog entity = warpAuditLog(joinPoint); entity.setResult(0); //插入到数据库 systemAuditLogService.add(entity); }/** * 抛出异常拦截 */ @AfterThrowing(value="https://www.it610.com/article/methodAspect()", throwing="ex") public void afterThrowing(JoinPoint joinPoint, Exception ex) throws Exception { System.out.println("SystemAuditLog代理 -> 抛出异常拦截......"); //封装数据 AuditLog entity = warpAuditLog(joinPoint); entity.setResult(1); //封装错误信息 entity.setExMsg(ex.getMessage()); //插入到数据库 systemAuditLogService.add(entity); }/** * 封装插入实体 * @param joinPoint * @return * @throws Exception */ private AuditLog warpAuditLog(JoinPoint joinPoint) throws Exception { //获取请求上下文 HttpServletRequest request = getHttpServletRequest(); //获取注解上的参数值 SystemAuditLog systemAuditLog = getServiceMethodDescription(joinPoint); //获取请求参数 Object requestObj = getServiceMethodParams(joinPoint); //封装数据 AuditLog auditLog = new AuditLog(); auditLog.setId(SnowflakeIdWorker.getInstance().nextId()); //从请求上下文对象获取相应的数据 if(Objects.nonNull(request)){ auditLog.setUserAgent(request.getHeader("User-Agent")); //获取登录时的ip地址 auditLog.setIpAddress(IpAddressUtil.getIpAddress(request)); //调用外部接口，获取IP所在地 auditLog.setIpAddressName(IpAddressUtil.getLoginAddress(auditLog.getIpAddress())); } //封装操作的表和描述 if(Objects.nonNull(systemAuditLog)){ auditLog.setTableName(systemAuditLog.tableName()); auditLog.setOperateDesc(systemAuditLog.description()); } //封装请求参数 auditLog.setRequestParam(JSON.toJSONString(requestObj)); //封装请求人 if(Objects.nonNull(requestObj) && requestObj instanceof BaseRequest){ auditLog.setOperateUserId(((BaseRequest) requestObj).getLoginUserId()); auditLog.setOperateUserName(((BaseRequest) requestObj).getLoginUserName()); } auditLog.setOperateTime(new Date()); return auditLog; }/** * 获取当前的request * 这里如果报空指针异常是因为单独使用spring获取request * 需要在配置文件里添加监听 * * 如果是spring项目，通过下面方式注入 * * * org.springframework.web.context.request.RequestContextListener * * * * 如果是springboot项目，在配置类里面，通过下面方式注入 * @Bean * public RequestContextListener requestContextListener(){ *return new RequestContextListener(); * } * @return */ private HttpServletRequest getHttpServletRequest(){ RequestAttributes ra = RequestContextHolder.getRequestAttributes(); ServletRequestAttributes sra = (ServletRequestAttributes)ra; HttpServletRequest request = sra.getRequest(); return request; }/** * 获取请求对象 * @param joinPoint * @return * @throws Exception */ private Object getServiceMethodParams(JoinPoint joinPoint) { Object[] arguments = joinPoint.getArgs(); if(Objects.nonNull(arguments) && arguments.length > 0){ return arguments[0]; } return null; }/** * 获取自定义注解里的参数 * @param joinPoint * @return 返回注解里面的日志描述 * @throws Exception */ private SystemAuditLog getServiceMethodDescription(JoinPoint joinPoint) throws Exception { //类名 String targetName = joinPoint.getTarget().getClass().getName(); //方法名 String methodName = joinPoint.getSignature().getName(); //参数 Object[] arguments = joinPoint.getArgs(); //通过反射获取示例对象 Class targetClass = Class.forName(targetName); //通过实例对象方法数组 Method[] methods = targetClass.getMethods(); for(Method method : methods) { //判断方法名是不是一样 if(method.getName().equals(methodName)) { //对比参数数组的长度 Class[] clazzs = method.getParameterTypes(); if(clazzs.length == arguments.length) { //获取注解里的日志信息 return method.getAnnotation(SystemAuditLog.class); } } } return null; } }

• 最后，只需要在对应的接口或者方法上添加审计日志注解即可

@RestController @RequestMapping("api") public class LoginController {/** * 用户登录，添加审计日志注解 * @param request */ @SystemAuditLog(tableName = "tb_user", description = "用户登录") @PostMapping("login") public void login(UserLoginDTO request){ //登录逻辑处理 } }

• 相关的实体类

@Data public class AuditLog {/** * 审计日志，主键ID */ private Long id; /** * 操作的表名，多个用逗号隔开 */ private String tableName; /** * 操作描述 */ private String operateDesc; /** * 请求参数 */ private String requestParam; /** * 执行结果，0:成功，1:失败 */ private Integer result; /** * 异常信息 */ private String exMsg; /** * 请求代理信息 */ private String userAgent; /** * 操作时设备IP */ private String ipAddress; /** * 操作时设备IP所在地址 */ private String ipAddressName; /** * 操作时间 */ private Date operateTime; /** * 操作人ID */ private String operateUserId; /** * 操作人 */ private String operateUserName; }

public class BaseRequest implements Serializable {/** * 请求token */ private String token; /** * 登录人ID */ private String loginUserId; /** * 登录人姓名 */ private String loginUserName; public String getToken() { return token; }public void setToken(String token) { this.token = token; }public String getLoginUserId() { return loginUserId; }public void setLoginUserId(String loginUserId) { this.loginUserId = loginUserId; }public String getLoginUserName() { return loginUserName; }public void setLoginUserName(String loginUserName) { this.loginUserName = loginUserName; } }

@Data public class UserLoginDTO extends BaseRequest {/** * 用户名 */ private String userName; /** * 密码 */ private String password; }

三、小结
整个程序的实现过程，主要使用了 Spring AOP 特性，对特定方法进行前、后拦截，从而实现业务方的需求。
在下篇文章中，我们会详细介绍 Spring AOP 的使用！
一、简介
任何一个软件系统，都不可避免的会碰到【信息安全】这个词，尤其是对于刚入行的新手，比如我，我刚入行的时候，领导让我做一个数据报表导出功能，我就按照他的意思去做，至于谁有权限操作导出，导出的数据包含敏感信息应该怎么处理，后端接口是不是做了权限控制防止恶意抓取，这些问题我基本上不关心，我只想一心一意尽快实现需求，然后顺利完成任务交付。
实际上，随着工作阅历的增加，你会越来越能感觉到，实现业务方提的需求，只是完成了软件系统研发中的【能用】要求；服务是否【可靠】可能需要从架构层和运维方面去着手解决；至于是否【安全】、更多的需要从【信息安全】这个角度来思考，尤其是当我们的软件系统面对外界的恶意干扰和攻击时，是否依然能保障用户正常使用，对于大公司，这个可能是头等大事，因为可能一个很小很小的漏洞，一不小心可能会给公司带来几千万的损失！
最常见的就是电商系统和支付系统，尤其是需求旺季的时候，经常有黑客专门攻击这些电商系统，导致大量服务宕机，影响用户正常下单。
像这样的攻击案例每天都有，有的公司甚至直接向黑客气妥，给钱消灾！
但是这种做法肯定不是长久之计，最重要的还是主动提升系统的【安全】防御系数。
由于信息安全所涉及的要求内容众多，今天，我在这里仅仅向大家介绍其中关于【审计日志】的要求和具体应用，后续也会向大家介绍其他的要求。
【审计日志】，简单的说就是系统需要记录谁，在什么时间，对什么数据，做了什么样的更改！这个日志数据是极其珍贵的，后面如果因业务操作上出了问题，可以很方便进行操作回查。
同时，任何一个 IT 系统，如果要过审，这项任务基本上也是必审项！
好了，需求我们清楚了，具体应用看下面！
二、实践
实现【审计日志】这个需求，我们有一个很好的技术解决方案，就是使用 Spring 的切面编程，创建一个代理类，利用afterReturning和afterThrowing方法来实现日志的记录。
具体实现步骤如下

• 先创建审计日志表

CREATE TABLE `tb_audit_log` ( `id` bigint(20) NOT NULLCOMMENT '审计日志，主键ID', `table_name` varchar(500) DEFAULT '' COMMENT '操作的表名，多个用逗号隔开', `operate_desc` varchar(200) DEFAULT '' COMMENT '操作描述', `request_param` varchar(200) DEFAULT '' COMMENT '请求参数', `result` int(10) COMMENT '执行结果，0:成功，1:失败', `ex_msg` varchar(200) DEFAULT '' COMMENT '异常信息', `user_agent` text COLLATE utf8mb4_unicode_ci COMMENT '用户代理信息', `ip_address` varchar(32) NOT NULL DEFAULT '' COMMENT '操作时设备IP', `ip_address_name` varchar(32) DEFAULT '' COMMENT '操作时设备IP所在地址', `operate_time` datetime NOT NULL DEFAULT CURRENT_TIMESTAMP COMMENT '操作时间', `operate_user_id` varchar(32) DEFAULT '' COMMENT '操作人ID', `operate_user_name` varchar(32) DEFAULT '' COMMENT '操作人', PRIMARY KEY (`id`) ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci COMMENT='审计日志表';

• 然后编写一个注解类

@Retention(RetentionPolicy.RUNTIME) @Target({ElementType.TYPE,ElementType.METHOD}) @Documented public @interface SystemAuditLog {/** * 操作了的表名 * @return */ String tableName() default ""; /** * 日志描述 * @return */ String description() default ""; }

• 接着编写一个代理类

@Component @Aspect public class SystemAuditLogAspect {@Autowired private SystemAuditLogService systemAuditLogService; /** * 定义切入点，切入所有标注此注解的类和方法 */ @Pointcut("@within(com.example.demo.core.annotation.SystemAuditLog)|| @annotation(com.example.demo.core.annotation.SystemAuditLog)") public void methodAspect() { }/** * 方法调用前拦截 */ @Before("methodAspect()") public void before(){ System.out.println("SystemAuditLog代理 -> 调用方法执行之前......"); }/** * 方法调用后拦截 */ @After("methodAspect()") public void after(){ System.out.println("SystemAuditLog代理 -> 调用方法执行之后......"); }/** * 调用方法结束拦截 */ @AfterReturning(value = "https://www.it610.com/article/methodAspect()") public void afterReturning(JoinPoint joinPoint) throws Exception { System.out.println("SystemAuditLog代理 -> 调用方法结束拦截......"); //封装数据 AuditLog entity = warpAuditLog(joinPoint); entity.setResult(0); //插入到数据库 systemAuditLogService.add(entity); }/** * 抛出异常拦截 */ @AfterThrowing(value="https://www.it610.com/article/methodAspect()", throwing="ex") public void afterThrowing(JoinPoint joinPoint, Exception ex) throws Exception { System.out.println("SystemAuditLog代理 -> 抛出异常拦截......"); //封装数据 AuditLog entity = warpAuditLog(joinPoint); entity.setResult(1); //封装错误信息 entity.setExMsg(ex.getMessage()); //插入到数据库 systemAuditLogService.add(entity); }/** * 封装插入实体 * @param joinPoint * @return * @throws Exception */ private AuditLog warpAuditLog(JoinPoint joinPoint) throws Exception { //获取请求上下文 HttpServletRequest request = getHttpServletRequest(); //获取注解上的参数值 SystemAuditLog systemAuditLog = getServiceMethodDescription(joinPoint); //获取请求参数 Object requestObj = getServiceMethodParams(joinPoint); //封装数据 AuditLog auditLog = new AuditLog(); auditLog.setId(SnowflakeIdWorker.getInstance().nextId()); //从请求上下文对象获取相应的数据 if(Objects.nonNull(request)){ auditLog.setUserAgent(request.getHeader("User-Agent")); //获取登录时的ip地址 auditLog.setIpAddress(IpAddressUtil.getIpAddress(request)); //调用外部接口，获取IP所在地 auditLog.setIpAddressName(IpAddressUtil.getLoginAddress(auditLog.getIpAddress())); } //封装操作的表和描述 if(Objects.nonNull(systemAuditLog)){ auditLog.setTableName(systemAuditLog.tableName()); auditLog.setOperateDesc(systemAuditLog.description()); } //封装请求参数 auditLog.setRequestParam(JSON.toJSONString(requestObj)); //封装请求人 if(Objects.nonNull(requestObj) && requestObj instanceof BaseRequest){ auditLog.setOperateUserId(((BaseRequest) requestObj).getLoginUserId()); auditLog.setOperateUserName(((BaseRequest) requestObj).getLoginUserName()); } auditLog.setOperateTime(new Date()); return auditLog; }/** * 获取当前的request * 这里如果报空指针异常是因为单独使用spring获取request * 需要在配置文件里添加监听 * * 如果是spring项目，通过下面方式注入 * * * org.springframework.web.context.request.RequestContextListener * * * * 如果是springboot项目，在配置类里面，通过下面方式注入 * @Bean * public RequestContextListener requestContextListener(){ *return new RequestContextListener(); * } * @return */ private HttpServletRequest getHttpServletRequest(){ RequestAttributes ra = RequestContextHolder.getRequestAttributes(); ServletRequestAttributes sra = (ServletRequestAttributes)ra; HttpServletRequest request = sra.getRequest(); return request; }/** * 获取请求对象 * @param joinPoint * @return * @throws Exception */ private Object getServiceMethodParams(JoinPoint joinPoint) { Object[] arguments = joinPoint.getArgs(); if(Objects.nonNull(arguments) && arguments.length > 0){ return arguments[0]; } return null; }/** * 获取自定义注解里的参数 * @param joinPoint * @return 返回注解里面的日志描述 * @throws Exception */ private SystemAuditLog getServiceMethodDescription(JoinPoint joinPoint) throws Exception { //类名 String targetName = joinPoint.getTarget().getClass().getName(); //方法名 String methodName = joinPoint.getSignature().getName(); //参数 Object[] arguments = joinPoint.getArgs(); //通过反射获取示例对象 Class targetClass = Class.forName(targetName); //通过实例对象方法数组 Method[] methods = targetClass.getMethods(); for(Method method : methods) { //判断方法名是不是一样 if(method.getName().equals(methodName)) { //对比参数数组的长度 Class[] clazzs = method.getParameterTypes(); if(clazzs.length == arguments.length) { //获取注解里的日志信息 return method.getAnnotation(SystemAuditLog.class); } } } return null; } }

• 最后，只需要在对应的接口或者方法上添加审计日志注解即可

@RestController @RequestMapping("api") public class LoginController {/** * 用户登录，添加审计日志注解 * @param request */ @SystemAuditLog(tableName = "tb_user", description = "用户登录") @PostMapping("login") public void login(UserLoginDTO request){ //登录逻辑处理 } }

• 相关的实体类

@Data public class AuditLog {/** * 审计日志，主键ID */ private Long id; /** * 操作的表名，多个用逗号隔开 */ private String tableName; /** * 操作描述 */ private String operateDesc; /** * 请求参数 */ private String requestParam; /** * 执行结果，0:成功，1:失败 */ private Integer result; /** * 异常信息 */ private String exMsg; /** * 请求代理信息 */ private String userAgent; /** * 操作时设备IP */ private String ipAddress; /** * 操作时设备IP所在地址 */ private String ipAddressName; /** * 操作时间 */ private Date operateTime; /** * 操作人ID */ private String operateUserId; /** * 操作人 */ private String operateUserName; }

public class BaseRequest implements Serializable {/** * 请求token */ private String token; /** * 登录人ID */ private String loginUserId; /** * 登录人姓名 */ private String loginUserName; public String getToken() { return token; }public void setToken(String token) { this.token = token; }public String getLoginUserId() { return loginUserId; }public void setLoginUserId(String loginUserId) { this.loginUserId = loginUserId; }public String getLoginUserName() { return loginUserName; }public void setLoginUserName(String loginUserName) { this.loginUserName = loginUserName; } }

@Data public class UserLoginDTO extends BaseRequest {/** * 用户名 */ private String userName; /** * 密码 */ private String password; }

三、小结
整个程序的实现过程，主要使用了 Spring AOP 特性，对特定方法进行前、后拦截，从而实现业务方的需求。
【巧用自定义注解，一行代码搞定审计日志】更多 SpringBoot 相关技术案例实践，感兴趣的朋友，关注下方公众号，并回复【cccc6】即可获取源代码！

推荐阅读

• 

  自汗是什么意思 自汗解释
• 

  怎样熬排骨汤又白又浓
• 

  驾驶证年审手续流程是什么
• 

  高手在民间！！！
• 

  华为P40是几W快充（华为P40的快充是多少）
• 

  早起打卡第62天，早饭打卡第8天
• 

  生菜对环境条件的要求 生菜适合的温度和环境
• 

  经常吃猪肝对身体好吗 经常吃猪肝好不好
• 

  cf手游像我这个比较穷的V5买啥好？
• 

  弹弹堂安卓苹果互通吗,弹弹幽灵大冒险:苹果和安卓不完全互通
• 

  除了《恶作剧之吻》,你还记得哪些小时候看的青春偶像剧？
• 

  苦练郭林气功复发 郭林新气功
• 

  爱普生l360打印机废墨收集垫6
• 

  想问一下在京东买手机靠谱吗？
• 

  美股基金有哪些
• 

  redis槽满了会怎么样 redis的插槽不均匀
• 

  银河破裂者最高难度战役模式怎么玩 战役模式通关方法推荐
• 

  vue+echarts实带渐变效果的折线图
• 

  什么是不成对电子数
• 

  为什么热水器只能75度，怎么修复与排查方法？

• JVM搭建自定义加载器拓展性的实施
• SAP|SAP UI5 应用开发教程之五十七 - 基于 OData 注解的 Smart Field 使用方法学习
• SAP|SAP UI5 应用开发教程之五十三 - 如何自定义 SAP UI5 数据类型(Data Type) 试读版
• springboot下使用shiro自定义filter的个人经验分享
• spring注解|spring注解 @PropertySource配置数据源全流程
• Spring-@Configuration注解简析
• Lombok基本注解之@SneakyThrows的作用
• Android中shape的自定义艺术效果使用
• 自定义Feign拦截器，实现设置请求头
• Android实现绚丽的自定义进度条