如何设置 API url，以便只有 IP 白名单客户端可以访问 API，而 Web 应用程序本身仍然可供所有人访问？

Question

我有一个 Web 应用程序可供公众通过 url 访问，例如 example.com。 现在我想为一些客户端提供一个 REST API 来通过一个受保护的 url 访问我服务器上的数据，比如 api.example.com。 我不希望公众可以访问此 API 链接，并希望通过防火墙对其进行保护，只有来自白名单 IP 的请求才能使用这些服务。

**将 API 作为单独的应用程序托管似乎有点过头了
**基于 URL 的过滤，比如阻止 example.com/funnyapi/1 而允许 api.example.com/funnyapi/1 似乎也不是一个合适的解决方案。
我是 REST api 的新手。
请建议如何处理。

Answer 1

我不会根据主机名限制访问，而是根据 URI 路径限制访问：Web 应用程序通常会提供相同的内容，无论您使用哪个主机名。

假设您使用web.xml 在/contextPath/api 部署了Jersey servlet：

<servlet>
    <servlet-name>ApiServlet</servlet-name>
    <servlet-class>org.glassfish.jersey.servlet.ServletContainer</servlet-class>
</servlet>
<servlet-mapping>
    <servlet-name>ApiServlet</servlet-name>
    <url-pattern>/api/*</url-pattern>
</servlet-mapping>

然后您可以轻松地将Filter 添加到您的servlet，它将根据远程地址进行过滤。如果您使用的是 Tomcat，那么已经有一个过滤器可以做到这一点：

<filter>
    <filter-name>AddressFilter</filter-name>
    <filter-class>org.apache.catalina.filters.RemoteAddrFilter</filter-class>
    <init-param>
        <param-name>allow</param-name>
        <param-value>192.168.\d+.\d+</param-value>
    </init-param>
</filter>
<filter-mapping>
    <filter-name>AddressFilter</filter-name>
    <servlet-name>ApiServlet</servlet-name>
</filter-mapping>

不过，我会考虑添加一些<security-contraint>s：

<security-constraint>
   <web-resource-collection>
      <web-resource-name>Api</web-resource-name>
      <url-pattern>/api/*</url-pattern>
   </web-resource-collection>
     <auth-constraint>
         <role-name>apiUser</role-name> 
     </auth-constraint>
     <user-data-constraint>
        <transport-guarantee>CONFIDENTIAL</transport-guarantee>
     </user-data-constraint>
</security-constraint>

Oracle's documentation 中描述了保护 RESTful API 的其他方法。

编辑：如果您正在使用另一个 servlet 容器，您可以像这样创建一个过滤器：

public class RemoteAddrFilter implements Filter {

   private Pattern allow;

   @Override
   public void init(FilterConfig filterConfig) throws ServletException {
      final String pattern = filterConfig.getInitParameter("allow");
      if (pattern != null) {
         allow = Pattern.compile(pattern);
      }
   }

   @Override
   public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
      if (allow == null) {
         return;
      }
      final String remoteAddr = request.getRemoteAddr();

      if (allow.matcher(remoteAddr).matches()) {
         chain.doFilter(request, response);
      } else {
         if (response instanceof HttpServletResponse) {
            ((HttpServletResponse) response).sendError(HttpServletResponse.SC_FORBIDDEN);
         }
      }
   }
}