巧用自定義註解，一行程式碼搞定審計日誌

程式設計師志哥發表於2022-03-26

一、簡介

任何一個軟體系統，都不可避免的會碰到【資訊保安】這個詞，尤其是對於剛入行的新手，比如我，我剛入行的時候，領導讓我做一個資料包表匯出功能，我就按照他的意思去做，至於誰有許可權操作匯出，匯出的資料包含敏感資訊應該怎麼處理，後端介面是不是做了許可權控制防止惡意抓取，這些問題我基本上不關心，我只想一心一意儘快實現需求，然後順利完成任務交付。

實際上，隨著工作閱歷的增加，你會越來越能感覺到，實現業務方提的需求，只是完成了軟體系統研發中的【能用】要求；服務是否【可靠】可能需要從架構層和運維方面去著手解決；至於是否【安全】、更多的需要從【資訊保安】這個角度來思考，尤其是當我們的軟體系統面對外界的惡意干擾和攻擊時，是否依然能保障使用者正常使用，對於大公司，這個可能是頭等大事，因為可能一個很小很小的漏洞，一不小心可能會給公司帶來幾千萬的損失！

最常見的就是電商系統和支付系統，尤其是需求旺季的時候，經常有黑客專門攻擊這些電商系統，導致大量服務當機，影響使用者正常下單。

像這樣的攻擊案例每天都有，有的公司甚至直接向黑客氣妥，給錢消災！

但是這種做法肯定不是長久之計，最重要的還是主動提升系統的【安全】防禦係數。

由於資訊保安所涉及的要求內容眾多，今天，我在這裡僅僅向大家介紹其中關於【審計日誌】的要求和具體應用，後續也會向大家介紹其他的要求。

【審計日誌】，簡單的說就是系統需要記錄誰，在什麼時間，對什麼資料，做了什麼樣的更改！這個日誌資料是極其珍貴的，後面如果因業務操作上出了問題，可以很方便進行操作回查。

同時，任何一個 IT 系統，如果要過審，這項任務基本上也是必審項！

好了，需求我們清楚了，具體應用看下面！

二、實踐

實現【審計日誌】這個需求，我們有一個很好的技術解決方案，就是使用 Spring 的切面程式設計，建立一個代理類，利用afterReturning和afterThrowing方法來實現日誌的記錄。

具體實現步驟如下

先建立審計日誌表

CREATE TABLE `tb_audit_log` (
  `id` bigint(20) NOT NULL  COMMENT '審計日誌，主鍵ID',
  `table_name` varchar(500) DEFAULT '' COMMENT '操作的表名，多個用逗號隔開',
  `operate_desc` varchar(200) DEFAULT '' COMMENT '操作描述',
  `request_param` varchar(200) DEFAULT '' COMMENT '請求引數',
  `result` int(10) COMMENT '執行結果，0:成功，1:失敗',
  `ex_msg` varchar(200) DEFAULT '' COMMENT '異常資訊',
  `user_agent` text COLLATE utf8mb4_unicode_ci COMMENT '使用者代理資訊',
  `ip_address` varchar(32) NOT NULL DEFAULT '' COMMENT '操作時裝置IP',
  `ip_address_name` varchar(32) DEFAULT '' COMMENT '操作時裝置IP所在地址',
  `operate_time` datetime NOT NULL DEFAULT CURRENT_TIMESTAMP COMMENT '操作時間',
  `operate_user_id` varchar(32) DEFAULT '' COMMENT '操作人ID',
  `operate_user_name` varchar(32) DEFAULT '' COMMENT '操作人',
  PRIMARY KEY (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci COMMENT='審計日誌表';

然後編寫一個註解類

@Retention(RetentionPolicy.RUNTIME)
@Target({ElementType.TYPE,ElementType.METHOD})
@Documented
public @interface SystemAuditLog {

    /**
     * 操作了的表名
     * @return
     */
    String tableName() default "";

    /**
     * 日誌描述
     * @return
     */
    String description() default "";

}

接著編寫一個代理類

@Component
@Aspect
public class SystemAuditLogAspect {

    @Autowired
    private SystemAuditLogService systemAuditLogService;

    /**
     * 定義切入點，切入所有標註此註解的類和方法
     */
    @Pointcut("@within(com.example.demo.core.annotation.SystemAuditLog)|| @annotation(com.example.demo.core.annotation.SystemAuditLog)")
    public void methodAspect() {
    }

    /**
     * 方法呼叫前攔截
     */
    @Before("methodAspect()")
    public void before(){
        System.out.println("SystemAuditLog代理 -> 呼叫方法執行之前......");
    }

    /**
     * 方法呼叫後攔截
     */
    @After("methodAspect()")
    public void after(){
        System.out.println("SystemAuditLog代理 -> 呼叫方法執行之後......");
    }

    /**
     * 呼叫方法結束攔截
     */
    @AfterReturning(value = "methodAspect()")
    public void afterReturning(JoinPoint joinPoint) throws Exception {
        System.out.println("SystemAuditLog代理 -> 呼叫方法結束攔截......");
        //封裝資料
        AuditLog entity = warpAuditLog(joinPoint);
        entity.setResult(0);

        //插入到資料庫
        systemAuditLogService.add(entity);
    }


    /**
     * 丟擲異常攔截
     */
    @AfterThrowing(value="methodAspect()", throwing="ex")
    public void afterThrowing(JoinPoint joinPoint, Exception ex) throws Exception {
        System.out.println("SystemAuditLog代理 -> 丟擲異常攔截......");
        //封裝資料
        AuditLog entity = warpAuditLog(joinPoint);
        entity.setResult(1);
        //封裝錯誤資訊
        entity.setExMsg(ex.getMessage());

        //插入到資料庫
        systemAuditLogService.add(entity);
    }


    /**
     * 封裝插入實體
     * @param joinPoint
     * @return
     * @throws Exception
     */
    private AuditLog warpAuditLog(JoinPoint joinPoint) throws Exception {
        //獲取請求上下文
        HttpServletRequest request = getHttpServletRequest();
        //獲取註解上的引數值
        SystemAuditLog systemAuditLog = getServiceMethodDescription(joinPoint);
        //獲取請求引數
        Object requestObj = getServiceMethodParams(joinPoint);
        //封裝資料
        AuditLog auditLog = new AuditLog();
        auditLog.setId(SnowflakeIdWorker.getInstance().nextId());
        //從請求上下文物件獲取相應的資料
        if(Objects.nonNull(request)){
            auditLog.setUserAgent(request.getHeader("User-Agent"));
            //獲取登入時的ip地址
            auditLog.setIpAddress(IpAddressUtil.getIpAddress(request));
            //呼叫外部介面，獲取IP所在地
            auditLog.setIpAddressName(IpAddressUtil.getLoginAddress(auditLog.getIpAddress()));
        }
        //封裝操作的表和描述
        if(Objects.nonNull(systemAuditLog)){
            auditLog.setTableName(systemAuditLog.tableName());
            auditLog.setOperateDesc(systemAuditLog.description());
        }
        //封裝請求引數
        auditLog.setRequestParam(JSON.toJSONString(requestObj));
        //封裝請求人
        if(Objects.nonNull(requestObj) && requestObj instanceof BaseRequest){
            auditLog.setOperateUserId(((BaseRequest) requestObj).getLoginUserId());
            auditLog.setOperateUserName(((BaseRequest) requestObj).getLoginUserName());
        }
        auditLog.setOperateTime(new Date());
        return auditLog;
    }


    /**
     * 獲取當前的request
     * 這裡如果報空指標異常是因為單獨使用spring獲取request
     * 需要在配置檔案裡新增監聽
     *
     * 如果是spring專案，通過下面方式注入
     * <listener>
     * <listener-class>
     * org.springframework.web.context.request.RequestContextListener
     * </listener-class>
     * </listener>
     *
     * 如果是springboot專案，在配置類裡面，通過下面方式注入
     * @Bean
     * public RequestContextListener requestContextListener(){
     *     return new RequestContextListener();
     * }
     * @return
     */
    private HttpServletRequest getHttpServletRequest(){
        RequestAttributes ra = RequestContextHolder.getRequestAttributes();
        ServletRequestAttributes sra = (ServletRequestAttributes)ra;
        HttpServletRequest request = sra.getRequest();
        return request;
    }

    /**
     * 獲取請求物件
     * @param joinPoint
     * @return
     * @throws Exception
     */
    private Object getServiceMethodParams(JoinPoint joinPoint) {
        Object[] arguments = joinPoint.getArgs();
        if(Objects.nonNull(arguments) && arguments.length > 0){
            return arguments[0];
        }
        return null;
    }


    /**
     * 獲取自定義註解裡的引數
     * @param joinPoint
     * @return 返回註解裡面的日誌描述
     * @throws Exception
     */
    private SystemAuditLog getServiceMethodDescription(JoinPoint joinPoint) throws Exception {
        //類名
        String targetName = joinPoint.getTarget().getClass().getName();
        //方法名
        String methodName = joinPoint.getSignature().getName();
        //引數
        Object[] arguments = joinPoint.getArgs();
        //通過反射獲取示例物件
        Class targetClass = Class.forName(targetName);
        //通過例項物件方法陣列
        Method[] methods = targetClass.getMethods();
        for(Method method : methods) {
            //判斷方法名是不是一樣
            if(method.getName().equals(methodName)) {
                //對比引數陣列的長度
                Class[] clazzs = method.getParameterTypes();
                if(clazzs.length == arguments.length) {
                    //獲取註解裡的日誌資訊
                    return method.getAnnotation(SystemAuditLog.class);
                }
            }
        }
        return null;
    }
}

最後，只需要在對應的介面或者方法上新增審計日誌註解即可

@RestController
@RequestMapping("api")
public class LoginController {

    /**
     * 使用者登入，新增審計日誌註解
     * @param request
     */
    @SystemAuditLog(tableName = "tb_user", description = "使用者登入")
    @PostMapping("login")
    public void login(UserLoginDTO request){
        //登入邏輯處理
    }
}

相關的實體類

@Data
public class AuditLog {

    /**
     * 審計日誌，主鍵ID
     */
    private Long id;

    /**
     * 操作的表名，多個用逗號隔開
     */
    private String tableName;

    /**
     * 操作描述
     */
    private String operateDesc;

    /**
     * 請求引數
     */
    private String requestParam;

    /**
     * 執行結果，0:成功，1:失敗
     */
    private Integer result;

    /**
     * 異常資訊
     */
    private String exMsg;

    /**
     * 請求代理資訊
     */
    private String userAgent;

    /**
     * 操作時裝置IP
     */
    private String ipAddress;

    /**
     * 操作時裝置IP所在地址
     */
    private String ipAddressName;

    /**
     * 操作時間
     */
    private Date operateTime;


    /**
     * 操作人ID
     */
    private String operateUserId;

    /**
     * 操作人
     */
    private String operateUserName;
}

public class BaseRequest implements Serializable {

    /**
     * 請求token
     */
    private String token;

    /**
     * 登入人ID
     */
    private String loginUserId;

    /**
     * 登入人姓名
     */
    private String loginUserName;

    public String getToken() {
        return token;
    }

    public void setToken(String token) {
        this.token = token;
    }

    public String getLoginUserId() {
        return loginUserId;
    }

    public void setLoginUserId(String loginUserId) {
        this.loginUserId = loginUserId;
    }

    public String getLoginUserName() {
        return loginUserName;
    }

    public void setLoginUserName(String loginUserName) {
        this.loginUserName = loginUserName;
    }
}

@Data
public class UserLoginDTO extends BaseRequest {

    /**
     * 使用者名稱
     */
    private String userName;

    /**
     * 密碼
     */
    private String password;
}

三、小結

整個程式的實現過程，主要使用了 Spring AOP 特性，對特定方法進行前、後攔截，從而實現業務方的需求。

在下篇文章中，我們會詳細介紹 Spring AOP 的使用！

一、簡介

最常見的就是電商系統和支付系統，尤其是需求旺季的時候，經常有黑客專門攻擊這些電商系統，導致大量服務當機，影響使用者正常下單。

像這樣的攻擊案例每天都有，有的公司甚至直接向黑客氣妥，給錢消災！

但是這種做法肯定不是長久之計，最重要的還是主動提升系統的【安全】防禦係數。

同時，任何一個 IT 系統，如果要過審，這項任務基本上也是必審項！

好了，需求我們清楚了，具體應用看下面！

二、實踐

具體實現步驟如下

先建立審計日誌表

CREATE TABLE `tb_audit_log` (
  `id` bigint(20) NOT NULL  COMMENT '審計日誌，主鍵ID',
  `table_name` varchar(500) DEFAULT '' COMMENT '操作的表名，多個用逗號隔開',
  `operate_desc` varchar(200) DEFAULT '' COMMENT '操作描述',
  `request_param` varchar(200) DEFAULT '' COMMENT '請求引數',
  `result` int(10) COMMENT '執行結果，0:成功，1:失敗',
  `ex_msg` varchar(200) DEFAULT '' COMMENT '異常資訊',
  `user_agent` text COLLATE utf8mb4_unicode_ci COMMENT '使用者代理資訊',
  `ip_address` varchar(32) NOT NULL DEFAULT '' COMMENT '操作時裝置IP',
  `ip_address_name` varchar(32) DEFAULT '' COMMENT '操作時裝置IP所在地址',
  `operate_time` datetime NOT NULL DEFAULT CURRENT_TIMESTAMP COMMENT '操作時間',
  `operate_user_id` varchar(32) DEFAULT '' COMMENT '操作人ID',
  `operate_user_name` varchar(32) DEFAULT '' COMMENT '操作人',
  PRIMARY KEY (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci COMMENT='審計日誌表';

然後編寫一個註解類

@Retention(RetentionPolicy.RUNTIME)
@Target({ElementType.TYPE,ElementType.METHOD})
@Documented
public @interface SystemAuditLog {

    /**
     * 操作了的表名
     * @return
     */
    String tableName() default "";

    /**
     * 日誌描述
     * @return
     */
    String description() default "";

}

接著編寫一個代理類

@Component
@Aspect
public class SystemAuditLogAspect {

    @Autowired
    private SystemAuditLogService systemAuditLogService;

    /**
     * 定義切入點，切入所有標註此註解的類和方法
     */
    @Pointcut("@within(com.example.demo.core.annotation.SystemAuditLog)|| @annotation(com.example.demo.core.annotation.SystemAuditLog)")
    public void methodAspect() {
    }

    /**
     * 方法呼叫前攔截
     */
    @Before("methodAspect()")
    public void before(){
        System.out.println("SystemAuditLog代理 -> 呼叫方法執行之前......");
    }

    /**
     * 方法呼叫後攔截
     */
    @After("methodAspect()")
    public void after(){
        System.out.println("SystemAuditLog代理 -> 呼叫方法執行之後......");
    }

    /**
     * 呼叫方法結束攔截
     */
    @AfterReturning(value = "methodAspect()")
    public void afterReturning(JoinPoint joinPoint) throws Exception {
        System.out.println("SystemAuditLog代理 -> 呼叫方法結束攔截......");
        //封裝資料
        AuditLog entity = warpAuditLog(joinPoint);
        entity.setResult(0);

        //插入到資料庫
        systemAuditLogService.add(entity);
    }


    /**
     * 丟擲異常攔截
     */
    @AfterThrowing(value="methodAspect()", throwing="ex")
    public void afterThrowing(JoinPoint joinPoint, Exception ex) throws Exception {
        System.out.println("SystemAuditLog代理 -> 丟擲異常攔截......");
        //封裝資料
        AuditLog entity = warpAuditLog(joinPoint);
        entity.setResult(1);
        //封裝錯誤資訊
        entity.setExMsg(ex.getMessage());

        //插入到資料庫
        systemAuditLogService.add(entity);
    }


    /**
     * 封裝插入實體
     * @param joinPoint
     * @return
     * @throws Exception
     */
    private AuditLog warpAuditLog(JoinPoint joinPoint) throws Exception {
        //獲取請求上下文
        HttpServletRequest request = getHttpServletRequest();
        //獲取註解上的引數值
        SystemAuditLog systemAuditLog = getServiceMethodDescription(joinPoint);
        //獲取請求引數
        Object requestObj = getServiceMethodParams(joinPoint);
        //封裝資料
        AuditLog auditLog = new AuditLog();
        auditLog.setId(SnowflakeIdWorker.getInstance().nextId());
        //從請求上下文物件獲取相應的資料
        if(Objects.nonNull(request)){
            auditLog.setUserAgent(request.getHeader("User-Agent"));
            //獲取登入時的ip地址
            auditLog.setIpAddress(IpAddressUtil.getIpAddress(request));
            //呼叫外部介面，獲取IP所在地
            auditLog.setIpAddressName(IpAddressUtil.getLoginAddress(auditLog.getIpAddress()));
        }
        //封裝操作的表和描述
        if(Objects.nonNull(systemAuditLog)){
            auditLog.setTableName(systemAuditLog.tableName());
            auditLog.setOperateDesc(systemAuditLog.description());
        }
        //封裝請求引數
        auditLog.setRequestParam(JSON.toJSONString(requestObj));
        //封裝請求人
        if(Objects.nonNull(requestObj) && requestObj instanceof BaseRequest){
            auditLog.setOperateUserId(((BaseRequest) requestObj).getLoginUserId());
            auditLog.setOperateUserName(((BaseRequest) requestObj).getLoginUserName());
        }
        auditLog.setOperateTime(new Date());
        return auditLog;
    }


    /**
     * 獲取當前的request
     * 這裡如果報空指標異常是因為單獨使用spring獲取request
     * 需要在配置檔案裡新增監聽
     *
     * 如果是spring專案，通過下面方式注入
     * <listener>
     * <listener-class>
     * org.springframework.web.context.request.RequestContextListener
     * </listener-class>
     * </listener>
     *
     * 如果是springboot專案，在配置類裡面，通過下面方式注入
     * @Bean
     * public RequestContextListener requestContextListener(){
     *     return new RequestContextListener();
     * }
     * @return
     */
    private HttpServletRequest getHttpServletRequest(){
        RequestAttributes ra = RequestContextHolder.getRequestAttributes();
        ServletRequestAttributes sra = (ServletRequestAttributes)ra;
        HttpServletRequest request = sra.getRequest();
        return request;
    }

    /**
     * 獲取請求物件
     * @param joinPoint
     * @return
     * @throws Exception
     */
    private Object getServiceMethodParams(JoinPoint joinPoint) {
        Object[] arguments = joinPoint.getArgs();
        if(Objects.nonNull(arguments) && arguments.length > 0){
            return arguments[0];
        }
        return null;
    }


    /**
     * 獲取自定義註解裡的引數
     * @param joinPoint
     * @return 返回註解裡面的日誌描述
     * @throws Exception
     */
    private SystemAuditLog getServiceMethodDescription(JoinPoint joinPoint) throws Exception {
        //類名
        String targetName = joinPoint.getTarget().getClass().getName();
        //方法名
        String methodName = joinPoint.getSignature().getName();
        //引數
        Object[] arguments = joinPoint.getArgs();
        //通過反射獲取示例物件
        Class targetClass = Class.forName(targetName);
        //通過例項物件方法陣列
        Method[] methods = targetClass.getMethods();
        for(Method method : methods) {
            //判斷方法名是不是一樣
            if(method.getName().equals(methodName)) {
                //對比引數陣列的長度
                Class[] clazzs = method.getParameterTypes();
                if(clazzs.length == arguments.length) {
                    //獲取註解裡的日誌資訊
                    return method.getAnnotation(SystemAuditLog.class);
                }
            }
        }
        return null;
    }
}

最後，只需要在對應的介面或者方法上新增審計日誌註解即可

@RestController
@RequestMapping("api")
public class LoginController {

    /**
     * 使用者登入，新增審計日誌註解
     * @param request
     */
    @SystemAuditLog(tableName = "tb_user", description = "使用者登入")
    @PostMapping("login")
    public void login(UserLoginDTO request){
        //登入邏輯處理
    }
}

相關的實體類

@Data
public class AuditLog {

    /**
     * 審計日誌，主鍵ID
     */
    private Long id;

    /**
     * 操作的表名，多個用逗號隔開
     */
    private String tableName;

    /**
     * 操作描述
     */
    private String operateDesc;

    /**
     * 請求引數
     */
    private String requestParam;

    /**
     * 執行結果，0:成功，1:失敗
     */
    private Integer result;

    /**
     * 異常資訊
     */
    private String exMsg;

    /**
     * 請求代理資訊
     */
    private String userAgent;

    /**
     * 操作時裝置IP
     */
    private String ipAddress;

    /**
     * 操作時裝置IP所在地址
     */
    private String ipAddressName;

    /**
     * 操作時間
     */
    private Date operateTime;


    /**
     * 操作人ID
     */
    private String operateUserId;

    /**
     * 操作人
     */
    private String operateUserName;
}

public class BaseRequest implements Serializable {

    /**
     * 請求token
     */
    private String token;

    /**
     * 登入人ID
     */
    private String loginUserId;

    /**
     * 登入人姓名
     */
    private String loginUserName;

    public String getToken() {
        return token;
    }

    public void setToken(String token) {
        this.token = token;
    }

    public String getLoginUserId() {
        return loginUserId;
    }

    public void setLoginUserId(String loginUserId) {
        this.loginUserId = loginUserId;
    }

    public String getLoginUserName() {
        return loginUserName;
    }

    public void setLoginUserName(String loginUserName) {
        this.loginUserName = loginUserName;
    }
}

@Data
public class UserLoginDTO extends BaseRequest {

    /**
     * 使用者名稱
     */
    private String userName;

    /**
     * 密碼
     */
    private String password;
}

三、小結

整個程式的實現過程，主要使用了 Spring AOP 特性，對特定方法進行前、後攔截，從而實現業務方的需求。

更多 SpringBoot 相關技術案例實踐，感興趣的朋友，關注下方公眾號，並回復【cccc6】即可獲取原始碼！

SpringBoot自定義註解、AOP列印日誌
2019-05-11
Spring Boot
Springboot AOP 自定義註解實現系統日誌
2019-08-08
Spring Boot
Lumen 日誌自定義
2019-08-13
vertica審計日誌
2019-07-05
.NET 8使用日誌功能以及自定義日誌提供程式
2024-04-06
自定義註解
2021-09-25
自定義Nginx日誌格式
2021-07-08
Nginx
日誌審計系統
2020-01-19
oracle 審計日誌清理
2018-02-12
Oracle
java 日誌脫敏框架 sensitive-v0.0.4 系統內建常見註解，支援自定義註解
2019-01-18
Java框架
自定義JAVA註解
2021-09-09
Java
java 自定義註解
2016-08-28
Java
Java 自定義註解
2016-08-24
Java
app直播原始碼，java自定義註解
2023-01-10
APP原始碼Java
java如何讓程式碼變得優雅——自定義註解
2021-01-01
Java
Java中的註解-自定義註解
2019-03-04
Java
自定義註解@MyBatisRepository
2015-12-23
MyBatis
【轉】 java自定義註解
2013-07-02
Java
Android自定義註解
1970-01-01
Android
Dubbo自定義日誌攔截器
2019-03-04
Laravel 中自定義日誌目錄
2017-12-16
Laravel
一行程式碼實現自定義轉場動畫--iOS自定義轉場動畫集
2017-09-29
行程動畫iOS
JAVA-註解(2)-自定義註解及反射註解
2019-07-26
Java反射
10行程式碼搞定移動web端自定義tap事件
2016-07-29
行程Web事件
.Net Core 審計日誌實現
2020-12-27
Laravel 自定義日誌驅動 -支援按類+日期分割日誌
2021-12-06
Laravel
自定義註解！絕對是程式設計師裝逼的利器！！
2021-12-15
程式設計師
自定義 Command 檢視 Laravel 日誌
2019-09-26
Laravel
java中如何自定義註解
2019-10-17
Java
自定義ConditionalOnXX註解
2021-10-20
自定義註解初步學習
2016-12-23
Spring 自定義註解（上）
2017-08-10
Spring
Spring Boot 自定義註解
2017-08-03
Spring Boot
Java自定義註解開發
2016-05-18
Java
優化自定義的Exception的日誌列印，設定自定義使用的ApiException extends Exception日誌列印不刷出堆疊資訊配置程式碼ApiException類即可
2020-11-03
優化ExceptionAPI
操作日誌記錄(包括輸出至自定義日誌檔案)
2020-10-16
最全 Kubernetes 審計日誌方案
2019-02-22
wazuh日誌審計--定製規則
2020-10-21

巧用自定義註解，一行程式碼搞定審計日誌

一、簡介

二、實踐

三、小結

一、簡介

二、實踐

三、小結

相關文章