一个server如果想把一些api作为public，一些作为private，一般都有什么办法？ - 未名空间MITBBS历史存档

一个server如果想把一些api作为public，一些作为private，一般都有什么办法？# Java - 爪哇娇娃

p*22013-09-20 07:09

1 楼

如果两个server就比较容易了，一台放在内网就好了。
如果只是一台server，是不是只能是authenticate了？
一般主要采取什么办法呢？
1. username, password
2. token id
还有什么吗？

g*g2013-09-20 07:09

2 楼

You can use basic access authentication on https for your secure API. Any
security framework provides that out of box. e.g. Spring security.
Another way is put the secure APIs inside the VPN. And front it with a
reserve proxy server to go to different hosts. It looks like one domain from
outside.

【在 p*****2 的大作中提到】

: 如果两个server就比较容易了，一台放在内网就好了。
: 如果只是一台server，是不是只能是authenticate了？
: 一般主要采取什么办法呢？
: 1. username, password
: 2. token id
: 还有什么吗？

w*z2013-09-20 07:09

3 楼

靠，一个server 多少钱，搞那么麻烦？

【在 p*****2 的大作中提到】

: 如果两个server就比较容易了，一台放在内网就好了。
: 如果只是一台server，是不是只能是authenticate了？
: 一般主要采取什么办法呢？
: 1. username, password
: 2. token id
: 还有什么吗？

g*e2013-09-20 07:09

4 楼

OAuth + permission control

办法？

【在 p*****2 的大作中提到】

: 如果两个server就比较容易了，一台放在内网就好了。
: 如果只是一台server，是不是只能是authenticate了？
: 一般主要采取什么办法呢？
: 1. username, password
: 2. token id
: 还有什么吗？

s*r2013-09-20 07:09

5 楼

tomcat 都在firewall里面，可以config apache acl

p*c2013-09-20 07:09

6 楼

跑两个虚拟机嘛
或者不同的port，不就行了

e*t2013-09-20 07:09

7 楼

private API可以直接设置access list。

【在 p*****2 的大作中提到】

: 如果两个server就比较容易了，一台放在内网就好了。
: 如果只是一台server，是不是只能是authenticate了？
: 一般主要采取什么办法呢？
: 1. username, password
: 2. token id
: 还有什么吗？

c*e2013-09-20 07:09

8 楼

一般公司都是把2个server,2个firewall的，这钱不能省。

【在 p*****2 的大作中提到】

: 如果两个server就比较容易了，一台放在内网就好了。
: 如果只是一台server，是不是只能是authenticate了？
: 一般主要采取什么办法呢？
: 1. username, password
: 2. token id
: 还有什么吗？

p*22013-09-20 07:09

9 楼

我感觉也是，这样最省事，安全。不过如果HA的话就要4太机器了。

【在 c*********e 的大作中提到】

: 一般公司都是把2个server,2个firewall的，这钱不能省。

p*22013-09-20 07:09

10 楼

access list里边是什么东西呢？

【在 e*****t 的大作中提到】

: private API可以直接设置access list。

p*22013-09-20 07:09

11 楼

不同的port到可能是个好办法。外网firewall挡住，内网的话不走firewall。理论上
来说就是一台机器跑两个server。感觉可行。

【在 p***c 的大作中提到】

: 跑两个虚拟机嘛
: 或者不同的port，不就行了

p*22013-09-20 07:09

12 楼

tomcat不懂呀。我用的node。

【在 s*****r 的大作中提到】

: tomcat 都在firewall里面，可以config apache acl

P*i2013-09-20 07:09

13 楼

两个instance不就得了

【在 p*****2 的大作中提到】

:
: tomcat不懂呀。我用的node。

p*22013-09-20 07:09

14 楼

from
可以配置reverse proxy根据内网外网发送到不同的host吗？这个一般是根据IP来判断
吗？

【在 g*****g 的大作中提到】

: You can use basic access authentication on https for your secure API. Any
: security framework provides that out of box. e.g. Spring security.
: Another way is put the secure APIs inside the VPN. And front it with a
: reserve proxy server to go to different hosts. It looks like one domain from
: outside.

p*22013-09-20 07:09

15 楼

OAuth好搭建吗？我还要管理identity吧？

【在 g**e 的大作中提到】

: OAuth + permission control
:
: 办法？

p*22013-09-20 07:09

16 楼

对。这个是最好的办法了。还省了machine了。

【在 P****i 的大作中提到】

: 两个instance不就得了

g*e2013-09-20 07:09

17 楼

我们另外一种用法是起一个routing service，外面来的请求从这进来，自动去掉一些
特殊的header。内部的API调用加上对应的header就行了。缺点不是没有
1. single point failure
2. 要求REST

Any

【在 p*****2 的大作中提到】

:
: 对。这个是最好的办法了。还省了machine了。

g*e2013-09-20 07:09

18 楼

OAuth不难，主流的social network公司的API都是走OAuth认证。管理identity有很多
现成的东西吧，LDAP, Kerbros都行。要高并发估计得自己整，也可以用AWS的IAM。

【在 p*****2 的大作中提到】

:
: 对。这个是最好的办法了。还省了machine了。

p*22013-09-20 07:09

19 楼

这个办法也很有趣。学习了。多谢大牛。

【在 g**e 的大作中提到】

: 我们另外一种用法是起一个routing service，外面来的请求从这进来，自动去掉一些
: 特殊的header。内部的API调用加上对应的header就行了。缺点不是没有
: 1. single point failure
: 2. 要求REST
:
: Any

w*z2013-09-20 07:09

20 楼

我们internal service 在firewall 里，不需要auth 的，具体网络怎么设，不了解。

【在 g**e 的大作中提到】

: 我们另外一种用法是起一个routing service，外面来的请求从这进来，自动去掉一些
: 特殊的header。内部的API调用加上对应的header就行了。缺点不是没有
: 1. single point failure
: 2. 要求REST
:
: Any

e*t2013-09-20 07:09

21 楼

internal service既然在firewall里面，直接任何人都可以访问就可以了,关键是对外
的service。应该有另外一台放在DMZ的机器来relay，然后那台机器再访问内网的机器
就好了。
当然relay machine就只能relay public api calls。
不过这么搞，IT一定很紧张security。这个machine一旦compromise就麻烦，所以这台
机器只能通过tunnel访问内网那台机器的那个port和那个协议。
anyway，所有涉外的服务，security都是第一要注意的。

【在 w**z 的大作中提到】

: 我们internal service 在firewall 里，不需要auth 的，具体网络怎么设，不了解。

p*22013-09-20 07:09

22 楼

还是挺麻烦的。

【在 g**e 的大作中提到】

: OAuth不难，主流的social network公司的API都是走OAuth认证。管理identity有很多
: 现成的东西吧，LDAP, Kerbros都行。要高并发估计得自己整，也可以用AWS的IAM。

g*e2013-09-20 07:09

23 楼

load balancer上可以设置iptable类似的东西，定义哪些domain不跟外部网络相连

【在 w**z 的大作中提到】

: 我们internal service 在firewall 里，不需要auth 的，具体网络怎么设，不了解。

e*t2013-09-20 07:09

24 楼

要和人家发生关系，从来就没容易过嘛。LOL

【在 p*****2 的大作中提到】

:
: 还是挺麻烦的。

g*e2013-09-20 07:09

25 楼

对，port, protocol, tps, bandwidth都有严格限制。citrix/cisco的LB都有设置，也
有metrics可以设置alarm

解。

【在 e*****t 的大作中提到】

: internal service既然在firewall里面，直接任何人都可以访问就可以了,关键是对外
: 的service。应该有另外一台放在DMZ的机器来relay，然后那台机器再访问内网的机器
: 就好了。
: 当然relay machine就只能relay public api calls。
: 不过这么搞，IT一定很紧张security。这个machine一旦compromise就麻烦，所以这台
: 机器只能通过tunnel访问内网那台机器的那个port和那个协议。
: anyway，所有涉外的服务，security都是第一要注意的。

p*22013-09-20 07:09

26 楼

这个说的很详细。赞一个。

【在 e*****t 的大作中提到】

: internal service既然在firewall里面，直接任何人都可以访问就可以了,关键是对外
: 的service。应该有另外一台放在DMZ的机器来relay，然后那台机器再访问内网的机器
: 就好了。
: 当然relay machine就只能relay public api calls。
: 不过这么搞，IT一定很紧张security。这个machine一旦compromise就麻烦，所以这台
: 机器只能通过tunnel访问内网那台机器的那个port和那个协议。
: anyway，所有涉外的服务，security都是第一要注意的。

w*z2013-09-20 07:09

27 楼

internal service 好像是这么弄， different subnet , controlled by LB . 至于怎
么很外面连，有techop handle, 俺不知道，好像用apache redirect .

【在 g**e 的大作中提到】

: load balancer上可以设置iptable类似的东西，定义哪些domain不跟外部网络相连

t*e2013-09-20 07:09

28 楼

一般都是这么搞，public api最好wrap成http web services, tunnel很少在EAI里面运
用，DMZ里面的就是个reverse proxy server, 比如apache。

【在 e*****t 的大作中提到】

: internal service既然在firewall里面，直接任何人都可以访问就可以了,关键是对外
: 的service。应该有另外一台放在DMZ的机器来relay，然后那台机器再访问内网的机器
: 就好了。
: 当然relay machine就只能relay public api calls。
: 不过这么搞，IT一定很紧张security。这个machine一旦compromise就麻烦，所以这台
: 机器只能通过tunnel访问内网那台机器的那个port和那个协议。
: anyway，所有涉外的服务，security都是第一要注意的。

c*e2013-09-20 07:09

29 楼

可以用role.比如有些method只允许有vip role的user使用。

【在 p*****2 的大作中提到】

: 如果两个server就比较容易了，一台放在内网就好了。
: 如果只是一台server，是不是只能是authenticate了？
: 一般主要采取什么办法呢？
: 1. username, password
: 2. token id
: 还有什么吗？

d*d2013-09-20 07:09

30 楼

who consumes the internal api? application running on the same box or other
boxes?
if only needs to be accessed locally, bind service port on localhost only.
also you can run things over ssl/tls with client certicate validation
enabled. only consumers with properly signed certificate will be allowed.....
....

c*e2013-09-20 07:09

31 楼

想了一下，其实还是可能的。
比如如果你是用rest web services,在controller里的每个method的参数里，如果你要
這個method是private的，就加2个参数：username, password.用戶提供的这2个参数如
果是错的，返回一個error或者null.

【在 p*****2 的大作中提到】

: 如果两个server就比较容易了，一台放在内网就好了。
: 如果只是一台server，是不是只能是authenticate了？
: 一般主要采取什么办法呢？
: 1. username, password
: 2. token id
: 还有什么吗？

w*z2013-09-20 07:09

32 楼

you need ssl/tls for external service.

【在 c*********e 的大作中提到】

: 想了一下，其实还是可能的。
: 比如如果你是用rest web services,在controller里的每个method的参数里，如果你要
: 這個method是private的，就加2个参数：username, password.用戶提供的这2个参数如
: 果是错的，返回一個error或者null.

c*e2013-09-20 07:09

33 楼

为啥，如果是external service,一样让external用戶输入username,password.
比如api uri变成http://mysite.com/api/users/5?username=abc&password=zzz
忘了说了，我的web services是用c# REST做的。

【在 w**z 的大作中提到】

: you need ssl/tls for external service.

c*e2013-09-20 07:09

34 楼

试了下，非常不错，能把一些api作为public，一些作为private。
如果要ssl的话，就用https好了。不過这个在aws要加钱。

为啥，如果是external service,一样让external用戶输入username,password.
比如api uri变成http://mysite.com/api/users/5?username=abc&password=zzz
忘了说了，我的web services是用c# REST做的。

【在 c*********e 的大作中提到】

: 为啥，如果是external service,一样让external用戶输入username,password.
: 比如api uri变成http://mysite.com/api/users/5?username=abc&password=zzz
: 忘了说了，我的web services是用c# REST做的。

g*g2013-09-20 07:09

35 楼

You should never use get for authentication, even for ssl.
Your firewall/proxy may log url, and your password is exposed.
As I said, simple https authentication is the way to go for rest api, which
uses post.

【在 c*********e 的大作中提到】

: 试了下，非常不错，能把一些api作为public，一些作为private。
: 如果要ssl的话，就用https好了。不過这个在aws要加钱。
:
: 为啥，如果是external service,一样让external用戶输入username,password.
: 比如api uri变成http://mysite.com/api/users/5?username=abc&password=zzz
: 忘了说了，我的web services是用c# REST做的。

c*e2013-09-20 07:09

36 楼

ok.用https来试试。aws免费account里，用https要加钱吗？

which

【在 g*****g 的大作中提到】

: You should never use get for authentication, even for ssl.
: Your firewall/proxy may log url, and your password is exposed.
: As I said, simple https authentication is the way to go for rest api, which
: uses post.

m*r2013-09-20 07:09

37 楼

you meant to say "basic authentication", right?

which

【在 g*****g 的大作中提到】

: You should never use get for authentication, even for ssl.
: Your firewall/proxy may log url, and your password is exposed.
: As I said, simple https authentication is the way to go for rest api, which
: uses post.

g*g2013-09-20 07:09

38 楼

right, basic access authentication. All web service frameworks have it built
-in.

【在 m****r 的大作中提到】

: you meant to say "basic authentication", right?
:
: which

c*e2013-09-20 07:09

39 楼

你是说在application header里加上basic xxxxx:xxxx， username和password都是
base64 encoded? 那这个不用https,username,password会被hacker截获吗？

built

【在 g*****g 的大作中提到】

: right, basic access authentication. All web service frameworks have it built
: -in.

g*e2013-09-20 07:09

40 楼

why not oauth for external auth, kerberos + LDAP for internal use?

【在 c*********e 的大作中提到】

: 你是说在application header里加上basic xxxxx:xxxx， username和password都是
: base64 encoded? 那这个不用https,username,password会被hacker截获吗？
:
: built

g*g2013-09-20 07:09

41 楼

There's no security whenever you use http to send something sensitive.
It doesn't matter which mechanism you are using.

【在 c*********e 的大作中提到】

: 你是说在application header里加上basic xxxxx:xxxx， username和password都是
: base64 encoded? 那这个不用https,username,password会被hacker截获吗？
:
: built

c*e2013-09-20 07:09

42 楼

用https for both external and internal use，安全吗？

【在 g**e 的大作中提到】

: why not oauth for external auth, kerberos + LDAP for internal use?

c*e2013-09-20 07:09

43 楼

https已经实现了，basic authentication也在header里加了，差一点点就可以在
google app store上发布了。同类产品，无cloud存储，无log in,register服务的，卖
到2块钱了。我这个卖1块钱，应该有人用吧？full-time工作之余，卖这个被老板发现
了怎么办？

【在 g*****g 的大作中提到】

: There's no security whenever you use http to send something sensitive.
: It doesn't matter which mechanism you are using.

g*g2013-09-20 07:09

44 楼

他会要求给你做手下？

【在 c*********e 的大作中提到】

: https已经实现了，basic authentication也在header里加了，差一点点就可以在
: google app store上发布了。同类产品，无cloud存储，无log in,register服务的，卖
: 到2块钱了。我这个卖1块钱，应该有人用吧？full-time工作之余，卖这个被老板发现
: 了怎么办？