如何限制RestController方法访问特定客户端及验证指定客户端请求

Got it, let's tackle these two Spring-related questions one by one—they're common scenarios when securing REST APIs!

1. 如何将RestController方法的访问权限限制给特定客户端？ #

这里有几种实用的方案，你可以根据场景选择：

方案1：基于IP地址的访问控制（Spring Security快速实现） #

如果你的客户端IP是固定的，用Spring Security的方法级权限控制最直接。首先确保项目已经引入Spring Security依赖，然后开启方法级安全：

@Configuration
@EnableMethodSecurity
public class SecurityConfig {
    // 基础安全配置，纯API场景可禁用csrf
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http.csrf(csrf -> csrf.disable())
            .authorizeHttpRequests(auth -> auth.anyRequest().authenticated());
        return http.build();
    }
}

然后在Controller方法上用@PreAuthorize指定允许的IP：

@RestController
@RequestMapping("/api")
public class SecureController {

    @GetMapping("/restricted")
    @PreAuthorize("hasIpAddress('192.168.1.100') or hasIpAddress('10.0.0.5')")
    public String restrictedEndpoint() {
        return "仅指定IP的客户端可访问";
    }
}

方案2：自定义API密钥验证（灵活通用） #

如果IP不固定，让客户端在请求头里携带一个预定义的API密钥是更通用的做法。服务端验证密钥的有效性：

@RestController
@RequestMapping("/api")
public class SecureController {

    // 从配置文件读取合法的API密钥
    @Value("${allowed.client.api-key}")
    private String validApiKey;

    @GetMapping("/restricted")
    public ResponseEntity<String> restrictedEndpoint(@RequestHeader("X-Client-Api-Key") String clientApiKey) {
        if (!validApiKey.equals(clientApiKey)) {
            return ResponseEntity.status(HttpStatus.FORBIDDEN).body("无效的客户端密钥");
        }
        return ResponseEntity.ok("仅合法客户端可访问");
    }
}

客户端侧用RestTemplate时，要给所有请求添加这个Header：

@Bean
public RestTemplate restTemplate() {
    RestTemplate restTemplate = new RestTemplate();
    restTemplate.getInterceptors().add((request, body, execution) -> {
        request.getHeaders().add("X-Client-Api-Key", "your-valid-api-key-here");
        return execution.execute(request, body);
    });
    return restTemplate;
}

方案3：OAuth2客户端凭证模式（生产级安全） #

如果是企业级生产环境，推荐用OAuth2的客户端凭证流。客户端先从授权服务器获取访问令牌，再用令牌请求你的API。服务端作为资源服务器，验证令牌的合法性和客户端身份：
服务端配置示例：

@Configuration
@EnableResourceServer
public class ResourceServerConfig extends ResourceServerConfigurerAdapter {
    @Override
    public void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/api/restricted/**")
            .hasAuthority("SCOPE_client.read"); // 验证客户端的权限范围
    }
}

客户端用RestTemplate携带令牌请求即可，这种方式安全且符合OAuth2标准。

2. 验证RestTemplate请求来自特定客户端（解决随机端口问题） #

首先要理清一个关键点：客户端配置的server.port=8081是它自己作为服务端对外提供服务的端口，不是它作为客户端发起HTTP请求时使用的本地端口。RestTemplate底层的HTTP客户端（比如Java原生HttpURLConnection、Apache HttpClient）默认会用系统分配的临时随机端口，所以你用request.getRemotePort()拿到的是这个临时端口，不是8081——这是正常的网络行为。

下面是几种可靠的验证方案：

方案1：用唯一标识验证（推荐） #

放弃端口验证，改用前面提到的API密钥、签名或者OAuth2令牌。这种方式不受网络环境影响，是生产环境的首选。

方案2：强制RestTemplate使用固定本地端口（仅适合测试/内部环境） #

如果你非要通过端口验证，可以让客户端的RestTemplate使用固定的本地端口。以Apache HttpClient为例，客户端配置如下：

@Bean
public RestTemplate restTemplate() throws UnknownHostException {
    // 指定客户端发起请求时使用的本地IP和端口
    InetAddress localAddress = InetAddress.getByName("localhost");
    int localPort = 8081;

    // 配置HttpClient使用固定本地端口
    Registry<ConnectionSocketFactory> socketFactoryRegistry = RegistryBuilder.<ConnectionSocketFactory>create()
            .register("http", PlainConnectionSocketFactory.getSocketFactory())
            .build();

    BasicHttpClientConnectionManager connectionManager = new BasicHttpClientConnectionManager(
            socketFactoryRegistry,
            null,
            null,
            (host, port, context) -> new InetSocketAddress(localAddress, localPort)
    );

    HttpClient httpClient = HttpClientBuilder.create()
            .setConnectionManager(connectionManager)
            .build();

    HttpComponentsClientHttpRequestFactory factory = new HttpComponentsClientHttpRequestFactory(httpClient);
    return new RestTemplate(factory);
}

这样客户端发起请求时就会用8081作为本地端口，服务端就能通过request.getRemotePort()拿到8081了。但注意：这个端口不能被客户端的其他服务占用，生产环境不推荐，容易出现端口冲突。

方案3：IP+客户端证书双重验证（内部网络场景） #

如果是内部可信网络，客户端IP固定，可以结合TLS客户端证书认证。服务端只接受携带指定客户端证书的请求，同时验证IP地址，双重保障请求来源的合法性。

内容的提问来源于stack exchange，提问作者Donatello