SpringBoot 相关问题请教！

[Vanes]

想来请教一下各位大佬，如下场景如何实现：

现在服务器有两个 SpringBoot 应用 A 和 B，现在 A 应用需要调用 B 的相关读写接口对某一类数据读写， 但是不希望外部请求直接访问 A 应用提供的 API 来对该类数据进行读写，即该类数据只能由 B 来调用， 个人理解为就是应用 A 对应用 B 授权，然后只有授权了应用才能访问相应的 API，其他外部请求直接拒绝。

不知道这种场景有什么比较好的实现方式。或者业界有没有什么比较标准的做法？

[Vanes]

@renyijiu 所以内部接口和外部接口对于客户端来说，区别就在于 header 是吗？

[renyijiu]

@Vanes #21 通过注解判断内外部接口，从而进行不同的校验（客户端的请求需要签名等验证），另外外层有网关，可以设置名单内部接口拒绝外部访问

[0ray]

为啥一定要用调 api, 作成 rpc 通信不好吗, 集成 dubbo 很容易的.

[mazyi]

给一把钥匙不就行了。。。

[NizumaEiji]

写过滤器\拦截器带个鉴权也行
或者直接 b 机器上本地改下 dns a 机器的 ng 上弄个规则 特定的接口拒绝外网 ip 访问也行吧

[m1ch3ng]

用 token 的机制不就可以（必须携带某些请求头）

[mosliu]

做鉴权不行么 ？

[wozhizui]

这应该就是加权限的 api 吧，行业软件的 api 经常都这么搞，给个调用者一个 key，请求的时候带上 key，然后应用 B 返回 200 ok 或者 400 不 ok。
已经有挺专业的回答了。

[CRUD]

1、A 应用只对 B 应用提供服务的情况下可关闭外网访问，B 请求 A 走内网。
2、A 应用除了对 B 应用提供服务，还需要对其他应用提供服务的情况下引入鉴权机制，可以是 token 也可以是 auth key，本质上只是 A 服务颁发给调用它的客户端的一个凭证，请求时带上该凭证，验证通过执行剩余逻辑，验证错误拒绝请求而已。

[Leiothrix]

B 应用配置 Spring Security 规则，只暴露该暴露出去的接口，A 应用后台登录后可以无阻碍访问 B 应用未暴露（保护）接口。

[HansCathy]

我理解 B 是对外接口，A 是对内接口。在网关配置 A 为登录验证，B 为匿名验证 就可以了

[xyshmily]

ng 白名单