从云端Web应用通过服务端打开私有网络Web应用的实现方案

Hey Jerry, let's figure out how to make that button in your cloud-hosted WA1 open up WA2 which is sitting in your private network. Since you already have a working REST connection between WA1 and WA2 via your Java proxy, we can leverage that existing setup to make this happen. Here are a few practical solutions tailored to different scenarios:

This is the simplest approach since you already have a proxy that can talk to both WA1 and WA2. We'll turn it into a reverse proxy that forwards HTTP requests from WA1's users to WA2.

• 步骤：
  1. 给你的Java代理添加反向代理逻辑。如果你用的是Spring Boot，可以用RestTemplate或WebClient来转发请求。下面是一个基于Spring MVC控制器的路径转发示例：

  @GetMapping("/proxy/wa2/**")
  public ResponseEntity<?> forwardToWA2(HttpServletRequest request) {
      // 移除请求路径中的/proxy/wa2前缀
      String targetPath = request.getRequestURI().replaceFirst("/proxy/wa2", "");
      String wa2BaseUrl = "http://your-private-wa2-address"; // 替换为WA2的实际内网地址
      
      // 复制请求头以维持会话/ Cookie信息
      HttpHeaders headers = new HttpHeaders();
      Enumeration<String> headerNames = request.getHeaderNames();
      while (headerNames.hasMoreElements()) {
          String header = headerNames.nextElement();
          headers.add(header, request.getHeader(header));
      }
      
      // 将请求转发到WA2
      RestTemplate restTemplate = new RestTemplate();
      HttpEntity<Void> requestEntity = new HttpEntity<>(headers);
      ResponseEntity<String> wa2Response = restTemplate.exchange(
          wa2BaseUrl + targetPath,
          HttpMethod.valueOf(request.getMethod()),
          requestEntity,
          String.class
      );
      
      // 将WA2的响应返回给用户
      return new ResponseEntity<>(wa2Response.getBody(), wa2Response.getHeaders(), wa2Response.getStatusCode());
  }
  

  2. 更新WA1的按钮点击事件，打开代理指向WA2的端点。这里是一个原生JS示例：

  document.getElementById("openWA2Btn").addEventListener("click", () => {
      // 替换为你的代理公网域名
      window.open("https://your-cloud-proxy-domain/proxy/wa2", "_blank");
  });
  

• 关键注意点：
  • 确保转发所有必要的请求头（比如Cookie、Authorization），这样如果WA2需要认证，会话管理才能正常工作。
  • 代理需要处理WA2的静态资源（CSS、JS、图片）——这个配置会覆盖/proxy/wa2下的所有路径，所以能满足需求。
  • 在代理中添加认证检查，确保只有WA1的授权用户才能访问WA2。

如果WA2包含敏感数据，你不想暴露永久的代理路径，可以让Java代理为WA1用户生成限时、带签名的访问链接。

• 步骤：
  1. 在Java代理中添加一个生成签名访问令牌的端点（这里用JWT实现）：

  @PostMapping("/generate-wa2-access-link")
  public ResponseEntity<Map<String, String>> generateWA2Link() {
      // 生成一个5分钟后过期的JWT
      String token = Jwts.builder()
          .setExpiration(new Date(System.currentTimeMillis() + 300000))
          .signWith(SignatureAlgorithm.HS256, "your-secure-signing-key") // 把密钥存在环境变量里，不要硬编码！
          .compact();
      
      // 构建代理的验证URL，通过验证后再转发到WA2
      String accessUrl = "https://your-cloud-proxy-domain/wa2-access?token=" + token;
      return ResponseEntity.ok(Collections.singletonMap("url", accessUrl));
  }
  

  2. 更新WA1的前端逻辑，先获取这个链接再打开WA2：

  document.getElementById("openWA2Btn").addEventListener("click", async () => {
      try {
          const response = await fetch("https://your-cloud-proxy-domain/generate-wa2-access-link", {
              method: "POST",
              credentials: "include" // 传递WA1的会话Cookie以验证用户身份
          });
          const data = await response.json();
          window.open(data.url, "_blank");
      } catch (err) {
          console.error("获取WA2访问链接失败:", err);
          alert("无法打开WA2，请稍后重试。");
      }
  });
  

  3. 在代理中添加验证端点，检查令牌有效后再重定向到WA2：

  @GetMapping("/wa2-access")
  public ResponseEntity<?> accessWA2(@RequestParam String token) {
      // 验证JWT令牌
      try {
          Jwts.parser().setSigningKey("your-secure-signing-key").parseClaimsJws(token);
      } catch (JwtException | IllegalArgumentException e) {
          return ResponseEntity.status(HttpStatus.UNAUTHORIZED).body("无效或过期的访问令牌");
      }
      
      // 如果令牌有效，重定向到WA2的主页
      return ResponseEntity.status(HttpStatus.TEMPORARY_REDIRECT)
          .header("Location", "http://your-private-wa2-address")
          .build();
  }
  

• 关键注意点：
  • 把JWT签名密钥存到环境变量中，绝对不要硬编码在代码里。
  • 可以在JWT中添加用户专属声明（比如WA1的用户ID），实现更细粒度的访问控制。

如果WA2使用WebSocket实现实时更新（比如聊天或实时仪表盘），你需要扩展Java代理来转发WebSocket流量。下面是一个Spring Boot的示例：

• 步骤：
  1. 在代理中配置WebSocket处理器，转发WA1前端和WA2之间的流量：

  @Configuration
  @EnableWebSocket
  public class WebSocketProxyConfig implements WebSocketConfigurer {
      @Override
      public void registerWebSocketHandlers(WebSocketHandlerRegistry registry) {
          registry.addHandler(new WA2WebSocketProxyHandler(), "/ws/wa2/**")
              .setAllowedOrigins("https://your-wa1-domain"); // 限制为WA1的域名以保证安全
      }
  }
  
  public class WA2WebSocketProxyHandler extends TextWebSocketHandler {
      private WebSocketSession wa2Session;
      
      @Override
      public void afterConnectionEstablished(WebSocketSession clientSession) throws Exception {
          // 连接到WA2的WebSocket端点
          StandardWebSocketClient wa2Client = new StandardWebSocketClient();
          wa2Session = wa2Client.execute(new TextWebSocketHandler() {
              @Override
              public void handleTextMessage(WebSocketSession session, TextMessage message) throws Exception {
                  // 将WA2的消息转发给客户端
                  clientSession.sendMessage(message);
              }
          }, URI.create("ws://your-private-wa2-address/ws")).get();
      }
      
      @Override
      public void handleTextMessage(WebSocketSession clientSession, TextMessage message) throws Exception {
          // 将客户端的消息转发给WA2
          if (wa2Session != null && wa2Session.isOpen()) {
              wa2Session.sendMessage(message);
          }
      }
  }
  

  2. 确保WA2的前端使用代理的WebSocket URL而非内网地址——如果你用了方案1的反向代理，这个会自动处理。

内容的提问来源于stack exchange，提问作者Jerry