巧用自定義注解，一行代碼搞定審計日志

本文轉載自查看原文 2022-03-26 20:57 819 項目案例

一、簡介

任何一個軟件系統，都不可避免的會碰到【信息安全】這個詞，尤其是對於剛入行的新手，比如我，我剛入行的時候，領導讓我做一個數據報表導出功能，我就按照他的意思去做，至於誰有權限操作導出，導出的數據包含敏感信息應該怎么處理，后端接口是不是做了權限控制防止惡意抓取，這些問題我基本上不關心，我只想一心一意盡快實現需求，然后順利完成任務交付。

實際上，隨着工作閱歷的增加，你會越來越能感覺到，實現業務方提的需求，只是完成了軟件系統研發中的【能用】要求；服務是否【可靠】可能需要從架構層和運維方面去着手解決；至於是否【安全】、更多的需要從【信息安全】這個角度來思考，尤其是當我們的軟件系統面對外界的惡意干擾和攻擊時，是否依然能保障用戶正常使用，對於大公司，這個可能是頭等大事，因為可能一個很小很小的漏洞，一不小心可能會給公司帶來幾千萬的損失！

最常見的就是電商系統和支付系統，尤其是需求旺季的時候，經常有黑客專門攻擊這些電商系統，導致大量服務宕機，影響用戶正常下單。

像這樣的攻擊案例每天都有，有的公司甚至直接向黑客氣妥，給錢消災！

但是這種做法肯定不是長久之計，最重要的還是主動提升系統的【安全】防御系數。

由於信息安全所涉及的要求內容眾多，今天，我在這里僅僅向大家介紹其中關於【審計日志】的要求和具體應用，后續也會向大家介紹其他的要求。

【審計日志】，簡單的說就是系統需要記錄誰，在什么時間，對什么數據，做了什么樣的更改！這個日志數據是極其珍貴的，后面如果因業務操作上出了問題，可以很方便進行操作回查。

同時，任何一個 IT 系統，如果要過審，這項任務基本上也是必審項！

好了，需求我們清楚了，具體應用看下面！

二、實踐

實現【審計日志】這個需求，我們有一個很好的技術解決方案，就是使用 Spring 的切面編程，創建一個代理類，利用afterReturning和afterThrowing方法來實現日志的記錄。

具體實現步驟如下

先創建審計日志表

CREATE TABLE `tb_audit_log` (
  `id` bigint(20) NOT NULL  COMMENT '審計日志，主鍵ID',
  `table_name` varchar(500) DEFAULT '' COMMENT '操作的表名，多個用逗號隔開',
  `operate_desc` varchar(200) DEFAULT '' COMMENT '操作描述',
  `request_param` varchar(200) DEFAULT '' COMMENT '請求參數',
  `result` int(10) COMMENT '執行結果，0:成功，1:失敗',
  `ex_msg` varchar(200) DEFAULT '' COMMENT '異常信息',
  `user_agent` text COLLATE utf8mb4_unicode_ci COMMENT '用戶代理信息',
  `ip_address` varchar(32) NOT NULL DEFAULT '' COMMENT '操作時設備IP',
  `ip_address_name` varchar(32) DEFAULT '' COMMENT '操作時設備IP所在地址',
  `operate_time` datetime NOT NULL DEFAULT CURRENT_TIMESTAMP COMMENT '操作時間',
  `operate_user_id` varchar(32) DEFAULT '' COMMENT '操作人ID',
  `operate_user_name` varchar(32) DEFAULT '' COMMENT '操作人',
  PRIMARY KEY (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci COMMENT='審計日志表';

然后編寫一個注解類

@Retention(RetentionPolicy.RUNTIME)
@Target({ElementType.TYPE,ElementType.METHOD})
@Documented
public @interface SystemAuditLog {

    /**
     * 操作了的表名
     * @return
     */
    String tableName() default "";

    /**
     * 日志描述
     * @return
     */
    String description() default "";

}

接着編寫一個代理類

@Component
@Aspect
public class SystemAuditLogAspect {

    @Autowired
    private SystemAuditLogService systemAuditLogService;

    /**
     * 定義切入點，切入所有標注此注解的類和方法
     */
    @Pointcut("@within(com.example.demo.core.annotation.SystemAuditLog)|| @annotation(com.example.demo.core.annotation.SystemAuditLog)")
    public void methodAspect() {
    }

    /**
     * 方法調用前攔截
     */
    @Before("methodAspect()")
    public void before(){
        System.out.println("SystemAuditLog代理 -> 調用方法執行之前......");
    }

    /**
     * 方法調用后攔截
     */
    @After("methodAspect()")
    public void after(){
        System.out.println("SystemAuditLog代理 -> 調用方法執行之后......");
    }

    /**
     * 調用方法結束攔截
     */
    @AfterReturning(value = "methodAspect()")
    public void afterReturning(JoinPoint joinPoint) throws Exception {
        System.out.println("SystemAuditLog代理 -> 調用方法結束攔截......");
        //封裝數據
        AuditLog entity = warpAuditLog(joinPoint);
        entity.setResult(0);

        //插入到數據庫
        systemAuditLogService.add(entity);
    }


    /**
     * 拋出異常攔截
     */
    @AfterThrowing(value="methodAspect()", throwing="ex")
    public void afterThrowing(JoinPoint joinPoint, Exception ex) throws Exception {
        System.out.println("SystemAuditLog代理 -> 拋出異常攔截......");
        //封裝數據
        AuditLog entity = warpAuditLog(joinPoint);
        entity.setResult(1);
        //封裝錯誤信息
        entity.setExMsg(ex.getMessage());

        //插入到數據庫
        systemAuditLogService.add(entity);
    }


    /**
     * 封裝插入實體
     * @param joinPoint
     * @return
     * @throws Exception
     */
    private AuditLog warpAuditLog(JoinPoint joinPoint) throws Exception {
        //獲取請求上下文
        HttpServletRequest request = getHttpServletRequest();
        //獲取注解上的參數值
        SystemAuditLog systemAuditLog = getServiceMethodDescription(joinPoint);
        //獲取請求參數
        Object requestObj = getServiceMethodParams(joinPoint);
        //封裝數據
        AuditLog auditLog = new AuditLog();
        auditLog.setId(SnowflakeIdWorker.getInstance().nextId());
        //從請求上下文對象獲取相應的數據
        if(Objects.nonNull(request)){
            auditLog.setUserAgent(request.getHeader("User-Agent"));
            //獲取登錄時的ip地址
            auditLog.setIpAddress(IpAddressUtil.getIpAddress(request));
            //調用外部接口，獲取IP所在地
            auditLog.setIpAddressName(IpAddressUtil.getLoginAddress(auditLog.getIpAddress()));
        }
        //封裝操作的表和描述
        if(Objects.nonNull(systemAuditLog)){
            auditLog.setTableName(systemAuditLog.tableName());
            auditLog.setOperateDesc(systemAuditLog.description());
        }
        //封裝請求參數
        auditLog.setRequestParam(JSON.toJSONString(requestObj));
        //封裝請求人
        if(Objects.nonNull(requestObj) && requestObj instanceof BaseRequest){
            auditLog.setOperateUserId(((BaseRequest) requestObj).getLoginUserId());
            auditLog.setOperateUserName(((BaseRequest) requestObj).getLoginUserName());
        }
        auditLog.setOperateTime(new Date());
        return auditLog;
    }


    /**
     * 獲取當前的request
     * 這里如果報空指針異常是因為單獨使用spring獲取request
     * 需要在配置文件里添加監聽
     *
     * 如果是spring項目，通過下面方式注入
     * <listener>
     * <listener-class>
     * org.springframework.web.context.request.RequestContextListener
     * </listener-class>
     * </listener>
     *
     * 如果是springboot項目，在配置類里面，通過下面方式注入
     * @Bean
     * public RequestContextListener requestContextListener(){
     *     return new RequestContextListener();
     * }
     * @return
     */
    private HttpServletRequest getHttpServletRequest(){
        RequestAttributes ra = RequestContextHolder.getRequestAttributes();
        ServletRequestAttributes sra = (ServletRequestAttributes)ra;
        HttpServletRequest request = sra.getRequest();
        return request;
    }

    /**
     * 獲取請求對象
     * @param joinPoint
     * @return
     * @throws Exception
     */
    private Object getServiceMethodParams(JoinPoint joinPoint) {
        Object[] arguments = joinPoint.getArgs();
        if(Objects.nonNull(arguments) && arguments.length > 0){
            return arguments[0];
        }
        return null;
    }


    /**
     * 獲取自定義注解里的參數
     * @param joinPoint
     * @return 返回注解里面的日志描述
     * @throws Exception
     */
    private SystemAuditLog getServiceMethodDescription(JoinPoint joinPoint) throws Exception {
        //類名
        String targetName = joinPoint.getTarget().getClass().getName();
        //方法名
        String methodName = joinPoint.getSignature().getName();
        //參數
        Object[] arguments = joinPoint.getArgs();
        //通過反射獲取示例對象
        Class targetClass = Class.forName(targetName);
        //通過實例對象方法數組
        Method[] methods = targetClass.getMethods();
        for(Method method : methods) {
            //判斷方法名是不是一樣
            if(method.getName().equals(methodName)) {
                //對比參數數組的長度
                Class[] clazzs = method.getParameterTypes();
                if(clazzs.length == arguments.length) {
                    //獲取注解里的日志信息
                    return method.getAnnotation(SystemAuditLog.class);
                }
            }
        }
        return null;
    }
}

最后，只需要在對應的接口或者方法上添加審計日志注解即可

@RestController
@RequestMapping("api")
public class LoginController {

    /**
     * 用戶登錄，添加審計日志注解
     * @param request
     */
    @SystemAuditLog(tableName = "tb_user", description = "用戶登錄")
    @PostMapping("login")
    public void login(UserLoginDTO request){
        //登錄邏輯處理
    }
}

相關的實體類

@Data
public class AuditLog {

    /**
     * 審計日志，主鍵ID
     */
    private Long id;

    /**
     * 操作的表名，多個用逗號隔開
     */
    private String tableName;

    /**
     * 操作描述
     */
    private String operateDesc;

    /**
     * 請求參數
     */
    private String requestParam;

    /**
     * 執行結果，0:成功，1:失敗
     */
    private Integer result;

    /**
     * 異常信息
     */
    private String exMsg;

    /**
     * 請求代理信息
     */
    private String userAgent;

    /**
     * 操作時設備IP
     */
    private String ipAddress;

    /**
     * 操作時設備IP所在地址
     */
    private String ipAddressName;

    /**
     * 操作時間
     */
    private Date operateTime;


    /**
     * 操作人ID
     */
    private String operateUserId;

    /**
     * 操作人
     */
    private String operateUserName;
}

public class BaseRequest implements Serializable {

    /**
     * 請求token
     */
    private String token;

    /**
     * 登錄人ID
     */
    private String loginUserId;

    /**
     * 登錄人姓名
     */
    private String loginUserName;

    public String getToken() {
        return token;
    }

    public void setToken(String token) {
        this.token = token;
    }

    public String getLoginUserId() {
        return loginUserId;
    }

    public void setLoginUserId(String loginUserId) {
        this.loginUserId = loginUserId;
    }

    public String getLoginUserName() {
        return loginUserName;
    }

    public void setLoginUserName(String loginUserName) {
        this.loginUserName = loginUserName;
    }
}

@Data
public class UserLoginDTO extends BaseRequest {

    /**
     * 用戶名
     */
    private String userName;

    /**
     * 密碼
     */
    private String password;
}

三、小結

整個程序的實現過程，主要使用了 Spring AOP 特性，對特定方法進行前、后攔截，從而實現業務方的需求。

在下篇文章中，我們會詳細介紹 Spring AOP 的使用！