双因子验证

hsweb提供了双因子验证功能,默认提供了totp实现,可通过totp app(比如:Google Authenticator)进行验证码获取。可以通过拓展实现接口短信验证等功能。
开启双因子验证
配置 application.yml
hsweb:
    authorize:
        two-factor:
            enable: true
        totp:
          enable: true # 开启totp支持
          domain: hsweb.me
在需要验证的接口上注解:
@PostMapping
@TwoFactor("update-password") //调用此接口时,需要进行双因子验证
public ResponseMessage<Boolean> updatePassword(String password){
    //业务逻辑
}
TOTP
如果开启了TOTP 双因子验证,在创建用户时会生成用户的totp验证密钥,并发出事件:TotpTwoFactorCreatedEvent ，通过监听此事件进行自定义处理：比如发送邮件通知等。
验证流程
1.调用接口,判断当前是否已经验证通过
2.如果没有验证通过,返回{"status":403,"code":"need_tow_factor","message":"需要进行双因子验证","provider":"totp"}
3.客户端根据返回码,引导用户输入验证码
4.将验证码添加到第一步的接口参数中,默认参数名为: verifyCode
5.验证通过后,在@TwoFactor(timeout=600000L)毫秒内再次调用无需重复输入,默认为10分钟.
自定义验证策略
hsweb默认只提供了TOTP方式的验证实现,，但是提供了拓展方式可以自定义验证策略，比如：短信验证
1.继承抽象类: DefaultTwoFactorValidatorProvider并重写对应方法
2.修改配置: hsweb.authorize.two-factor.default-provider=自定义的provider，或者在注解中指定provider: @TwoFactor(value="验证接口标识",provider="自定义的provider")

数据权限控制

前后分离

Last modified 4yr ago