如何基于调用方端口限制REST端点访问？含Spring Security及iptables咨询

1. Spring Security能否基于客户端端口限制敏感端点访问？ #

可以实现，但有个关键前提：第三方客户端必须使用固定端口发起请求。Spring Security本身没有现成的端口限制配置项，但可以通过自定义逻辑实现：

• 核心思路：在请求拦截时通过HttpServletRequest.getRemotePort()获取客户端的源端口，针对敏感端点添加端口校验规则。
• 示例代码：

  @Bean
  public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
      http.authorizeHttpRequests(auth -> auth
              // 对敏感端点应用自定义访问规则
              .requestMatchers("/sensitive-endpoint/**").access((authResult, context) -> {
                  int clientPort = context.getRequest().getRemotePort();
                  // 替换为第三方客户端的固定端口
                  boolean isAllowed = clientPort == 12345;
                  return new AuthorizationDecision(isAllowed);
              })
              .anyRequest().permitAll()
      );
      return http.build();
  }
  

• 注意：如果客户端使用随机端口（大多数默认情况），这种方法完全无效，因为每次请求的端口都会变化。

2. 其他基于端口限制访问的方式 #

iptables（系统级可靠方案） #

如果客户端端口固定，iptables是更稳定的选择，直接在系统层面拦截请求，无需修改应用代码：
假设Spring Boot应用端口为8080，第三方客户端固定端口为12345，规则示例：

# 先拒绝所有访问8080端口的请求
iptables -A INPUT -p tcp --dport 8080 -j DROP
# 允许本地12345端口的请求访问8080
iptables -A INPUT -p tcp --sport 12345 --dport 8080 -j ACCEPT

如果需要同时限制HTTP路径（仅放行/sensitive-endpoint），可以配合Nginx反向代理实现：

location /sensitive-endpoint {
    # 仅允许本地12345端口的请求
    allow 127.0.0.1:12345;
    deny all;
    proxy_pass http://localhost:8080;
}

其他可选方案 #

• ufw：Linux下的简易防火墙工具，语法比iptables更友好，同样支持基于源端口的规则配置。
• 网关层拦截：如果使用Spring Cloud Gateway或其他API网关，可在网关过滤器中获取客户端端口并添加校验逻辑，适合微服务架构场景。

内容的提问来源于stack exchange，提问作者gai-jin