RestTemplate实现HTTP Basic认证（不硬编码凭证）及架构疑问

一、传递当前登录用户凭证给RestTemplate实现HTTP Basic认证 #

你可以通过Spring Security上下文获取当前已认证用户的凭证，动态添加到RestTemplate请求头中，无需硬编码用户名密码，具体有两种实现方式：

1. 手动构造请求头（单次请求） #

在updateList方法中，先提取当前用户的认证信息，再构造Basic Auth请求头：

// 获取当前认证用户信息
Authentication auth = SecurityContextHolder.getContext().getAuthentication();
String username = auth.getName();
String password = auth.getCredentials().toString();

// 构造Basic Auth请求头
HttpHeaders headers = new HttpHeaders();
headers.setBasicAuth(username, password);
HttpEntity<Void> requestEntity = new HttpEntity<>(headers);

// 根据权限选择接口地址
String url = hasAdminRole() ? "/api/admin/entity" : "/api/entity";
ResponseEntity<List<Entity>> response = restTemplate.exchange(
    url, 
    HttpMethod.GET, 
    requestEntity, 
    new ParameterizedTypeReference<List<Entity>>() {}
);
// 解析响应填充Grid
List<Entity> entities = response.getBody();

2. 全局拦截器（自动添加所有请求） #

如果多个地方都需要带当前用户凭证，给RestTemplate添加拦截器自动注入认证头更高效：

@Bean
public RestTemplate restTemplate() {
    RestTemplate restTemplate = new RestTemplate();
    restTemplate.getInterceptors().add((request, body, execution) -> {
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        // 跳过匿名用户
        if (auth != null && auth.isAuthenticated() && !(auth instanceof AnonymousAuthenticationToken)) {
            String username = auth.getName();
            String password = auth.getCredentials().toString();
            String authHeader = "Basic " + Base64.getEncoder().encodeToString((username + ":" + password).getBytes());
            request.getHeaders().add(HttpHeaders.AUTHORIZATION, authHeader);
        }
        return execution.execute(request, body);
    });
    return restTemplate;
}

之后所有通过该RestTemplate发起的请求，都会自动带上当前登录用户的Basic Auth凭证。

二、用EntityService替代EntityController是否更合适？ #

非常建议用EntityService替代直接调用Rest接口的方式，原因如下：

1. 性能更优：Vaadin Flow是服务器端渲染框架，视图本身就在Spring Boot应用上下文内，直接调用Service层是本地方法调用，省去了HTTP请求的序列化、网络传输开销，响应速度更快。
2. 代码更简洁：无需处理RestTemplate的请求构造、响应解析，直接调用Service方法就能获取数据，逻辑更直观，减少冗余代码。
3. 权限控制更统一：可以在Service层方法上直接使用Spring Security的方法级权限注解（如@PreAuthorize），比如：

@Service
public class EntityService {
    @PreAuthorize("hasRole('USER')")
    public List<Entity> getPartialEntities() {
        // 查询部分Entity数据的业务逻辑
    }

    @PreAuthorize("hasRole('ADMIN')")
    public List<Entity> getAllEntities() {
        // 查询全部Entity数据的业务逻辑
    }
}

在Vaadin的updateList方法中，只需根据用户权限调用对应Service方法，Spring Security会自动校验权限，无需手动判断后拼接不同接口地址。
4. 事务管理更顺畅：Service层通常会添加@Transactional注解管理数据库事务，本地调用时事务可以无缝衔接；而通过Rest接口调用的话，事务是独立的HTTP请求事务，处理逻辑更复杂。

只有当后端是独立部署的微服务时，才需要用RestTemplate调用接口；如果是单体全栈应用，直接使用Service层是更合理的架构选择。

内容的提问来源于stack exchange，提问作者IceMajor