Что выведет код?
#Java
import java.util.*;
public class Task181225 {
public static void main(String[] args) {
List<String> list = new ArrayList<>(Arrays.asList("a", "b", "c"));
try {
list.forEach(item -> {
System.out.print(item + " ");
if (item.equals("b")) {
list.add("d");
}
});
} catch (Exception e) {
System.out.print("Exception ");
}
System.out.println(list.size());
}
}
#Java
🔥2
🔥1
Вопрос с собеседований
Как работает Selector в NIO?🤓
Ответ:
Selector позволяет одному потоку обслуживать множество каналов с неблокирующим I/O.
Поток получает события готовности: чтение, запись, подключение.
Это основа серверов с тысячами соединений без создания тысяч потоков.
#собеседование
Как работает Selector в NIO?
Ответ:
Поток получает события готовности: чтение, запись, подключение.
Это основа серверов с тысячами соединений без создания тысяч потоков.
#собеседование
Please open Telegram to view this post
VIEW IN TELEGRAM
👍2🔥1
История IT-технологий сегодня — 19 декабря
ℹ️ Кто родился в этот день
Орна Берри ( ивр . ארנה ברי ; родилась 19 декабря 1949 г.) — израильский учёный-информатик, бизнес-лидер и предприниматель в области ИТ; участвовала в развитии технологий и стартапов, работала на руководящих инженерных позициях в IBM и других технологических компаниях.
🌐 Знаковые события
2013 — Европейское космическое агентство вывело на орбиту космический телескоп Gaia.
#Biography #Birth_Date #Events #19Декабря
Орна Берри ( ивр . ארנה ברי ; родилась 19 декабря 1949 г.) — израильский учёный-информатик, бизнес-лидер и предприниматель в области ИТ; участвовала в развитии технологий и стартапов, работала на руководящих инженерных позициях в IBM и других технологических компаниях.
2013 — Европейское космическое агентство вывело на орбиту космический телескоп Gaia.
#Biography #Birth_Date #Events #19Декабря
Please open Telegram to view this post
VIEW IN TELEGRAM
👍3
Интеграция Spring Cloud Gateway с Spring Security: Архитектура реактивной безопасности
Двойная цепочка фильтров: концептуальная модель
При интеграции Spring Security с Spring Cloud Gateway формируется двухуровневая архитектура обработки запросов, где каждая цепочка фильтров выполняет свою специализированную роль. Spring Security оперирует на уровне SecurityWebFilterChain, отвечая за аутентификацию и авторизацию, в то время как Spring Cloud Gateway управляет GatewayFilterChain, специализируясь на маршрутизации и трансформации трафика.
Архитектурно это представляет собой последовательный pipeline, где запрос сначала проходит через механизмы безопасности, и только после успешной проверки попадает в систему маршрутизации. Такой подход обеспечивает принцип "security first" — ни один запрос не достигает бизнес-логики без предварительной проверки прав доступа.
Реактивная реализация обеих цепочек означает, что они построены на неблокирующей модели, где каждый фильтр описывает отложенные вычисления в виде реактивных потоков (Mono/Flux), а не выполняет синхронные операции. Это позволяет системе эффективно обрабатывать тысячи одновременных соединений с минимальным количеством потоков.
Реактивный контекст безопасности
В отличие от традиционного Spring Security, который хранит контекст аутентификации в ThreadLocal, реактивная версия использует ReactiveSecurityContextHolder, основанный на реактивном контексте (Context). Этот контекст распространяется через реактивный pipeline с помощью операторов subscriberContext() или contextWrite().
Когда запрос проходит через цепочку безопасности, аутентификационный объект помещается в реактивный контекст, который затем автоматически распространяется на все последующие стадии обработки, включая фильтры Gateway и вызовы downstream сервисов. Это обеспечивает сквозную передачу информации об аутентификации без необходимости явной передачи токенов или других идентификаторов между компонентами.
#Java #middle #Spring_Cloud_Gateway
Двойная цепочка фильтров: концептуальная модель
При интеграции Spring Security с Spring Cloud Gateway формируется двухуровневая архитектура обработки запросов, где каждая цепочка фильтров выполняет свою специализированную роль. Spring Security оперирует на уровне SecurityWebFilterChain, отвечая за аутентификацию и авторизацию, в то время как Spring Cloud Gateway управляет GatewayFilterChain, специализируясь на маршрутизации и трансформации трафика.
Архитектурно это представляет собой последовательный pipeline, где запрос сначала проходит через механизмы безопасности, и только после успешной проверки попадает в систему маршрутизации. Такой подход обеспечивает принцип "security first" — ни один запрос не достигает бизнес-логики без предварительной проверки прав доступа.
Реактивная реализация обеих цепочек означает, что они построены на неблокирующей модели, где каждый фильтр описывает отложенные вычисления в виде реактивных потоков (Mono/Flux), а не выполняет синхронные операции. Это позволяет системе эффективно обрабатывать тысячи одновременных соединений с минимальным количеством потоков.
Реактивный контекст безопасности
В отличие от традиционного Spring Security, который хранит контекст аутентификации в ThreadLocal, реактивная версия использует ReactiveSecurityContextHolder, основанный на реактивном контексте (Context). Этот контекст распространяется через реактивный pipeline с помощью операторов subscriberContext() или contextWrite().
Когда запрос проходит через цепочку безопасности, аутентификационный объект помещается в реактивный контекст, который затем автоматически распространяется на все последующие стадии обработки, включая фильтры Gateway и вызовы downstream сервисов. Это обеспечивает сквозную передачу информации об аутентификации без необходимости явной передачи токенов или других идентификаторов между компонентами.
#Java #middle #Spring_Cloud_Gateway
👍2
Принципы Token Relay в распределённых системах
Концептуальные модели передачи токенов
Token Relay (передача токенов) — это архитектурный паттерн, при котором API Gateway передаёт токены аутентификации от клиента к внутренним сервисам. Существует три основные стратегии реализации этого паттерна, каждая со своей областью применения и компромиссами.
Pass-through модель — наиболее простая стратегия, при которой Gateway передаёт исходный токен клиента (обычно JWT) без изменений. Этот подход сохраняет оригинальную сигнатуру токена и все claims, что упрощает аудит, но создаёт потенциальную уязвимость: внутренние сервисы получают полный доступ к claims, которые могут содержать конфиденциальную информацию, не предназначенную для их уровня доступа.
Token Exchange модель предполагает замену клиентского токена на новый, с ограниченным набором claims и scope, специфичным для целевого сервиса. Gateway выступает в роли trusted party, которая аутентифицирует клиента, а затем запрашивает у сервера авторизации новый токен с уменьшенными привилегиями. Этот подход реализует принцип минимальных привилегий, но увеличивает задержку и создаёт зависимость от сервиса авторизации.
Token Enrichment модель — гибридный подход, при котором Gateway добавляет дополнительные claims к исходному токену, не изменяя его базовую структуру. Например, Gateway может добавить информацию о маршруте, уровне обслуживания или других контекстных данных. Этот подход балансирует между безопасностью и производительностью, но требует тщательной проверки целостности токена.
Безопасность передачи токенов
При реализации Token Relay критически важны механизмы защиты от атак. Gateway должен проверять целостность токенов (подпись JWT), срок действия, издателя (issuer) и аудиторию (audience). Для предотвращения replay-атак может использоваться механизм одноразовых номеров (nonce) или проверка времени выпуска токена (iat claim).
Распространённой практикой является использование двойной проверки токенов: Gateway проверяет токен при поступлении запроса, а внутренние сервисы могут выполнять дополнительную, более детальную проверку, специфичную для их домена. Это создаёт defense-in-depth архитектуру, где компрометация одного компонента не приводит к полному нарушению безопасности системы.
#Java #middle #Spring_Cloud_Gateway
Концептуальные модели передачи токенов
Token Relay (передача токенов) — это архитектурный паттерн, при котором API Gateway передаёт токены аутентификации от клиента к внутренним сервисам. Существует три основные стратегии реализации этого паттерна, каждая со своей областью применения и компромиссами.
Pass-through модель — наиболее простая стратегия, при которой Gateway передаёт исходный токен клиента (обычно JWT) без изменений. Этот подход сохраняет оригинальную сигнатуру токена и все claims, что упрощает аудит, но создаёт потенциальную уязвимость: внутренние сервисы получают полный доступ к claims, которые могут содержать конфиденциальную информацию, не предназначенную для их уровня доступа.
Token Exchange модель предполагает замену клиентского токена на новый, с ограниченным набором claims и scope, специфичным для целевого сервиса. Gateway выступает в роли trusted party, которая аутентифицирует клиента, а затем запрашивает у сервера авторизации новый токен с уменьшенными привилегиями. Этот подход реализует принцип минимальных привилегий, но увеличивает задержку и создаёт зависимость от сервиса авторизации.
Token Enrichment модель — гибридный подход, при котором Gateway добавляет дополнительные claims к исходному токену, не изменяя его базовую структуру. Например, Gateway может добавить информацию о маршруте, уровне обслуживания или других контекстных данных. Этот подход балансирует между безопасностью и производительностью, но требует тщательной проверки целостности токена.
Безопасность передачи токенов
При реализации Token Relay критически важны механизмы защиты от атак. Gateway должен проверять целостность токенов (подпись JWT), срок действия, издателя (issuer) и аудиторию (audience). Для предотвращения replay-атак может использоваться механизм одноразовых номеров (nonce) или проверка времени выпуска токена (iat claim).
Распространённой практикой является использование двойной проверки токенов: Gateway проверяет токен при поступлении запроса, а внутренние сервисы могут выполнять дополнительную, более детальную проверку, специфичную для их домена. Это создаёт defense-in-depth архитектуру, где компрометация одного компонента не приводит к полному нарушению безопасности системы.
#Java #middle #Spring_Cloud_Gateway
👍2
Интеграция с внешними системами аутентификации
Архитектурные паттерны интеграции
Интеграция Gateway с внешними провайдерами аутентификации (Keycloak, Auth0, Okta) следует одному из двух архитектурных паттернов: делегированной аутентификации или федерации идентификации.
При делегированной аутентификации Gateway перенаправляет клиента к внешнему провайдеру для аутентификации, а затем получает токен, который использует для доступа к внутренним сервисам. Gateway в этом случае выступает как OAuth2 client или OpenID Connect Relying Party. Этот паттерн обеспечивает максимальную безопасность, так как учётные данные никогда не проходят через Gateway, но создаёт дополнительное взаимодействие с внешним сервисом.
Федерация идентификации предполагает, что Gateway самостоятельно проверяет токены, выпущенные внешним провайдером, используя публичные ключи или эндпоинты обнаружения. Gateway загружает конфигурацию провайдера (например, из .well-known/openid-configuration) и кэширует публичные ключи для проверки подписи. Этот паттерн уменьшает зависимость от внешнего сервиса во время обработки каждого запроса, но требует тщательной настройки механизмов обновления ключей и конфигурации.
Обработка ошибок безопасности в реактивном контексте
Теория обработки исключений в реактивных цепочках
В реактивном программировании исключения обрабатываются иначе, чем в императивном коде. Вместо блоков try-catch используются операторы onErrorResume, onErrorReturn и doOnError, которые позволяют обрабатывать ошибки в потоке данных без прерывания выполнения цепочки.
Когда фильтр безопасности обнаруживает нарушение (например, невалидный токен или недостаточные права), он не бросает исключение в традиционном смысле, а возвращает Mono.error(), который создаёт сигнал ошибки в реактивном потоке. Этот сигнал затем перехватывается обработчиками ошибок, которые преобразуют его в соответствующий HTTP-ответ.
Архитектурно важно различать ошибки аутентификации (401) и авторизации (403). Ошибки аутентификации указывают на проблему с установлением личности пользователя, в то время как ошибки авторизации возникают, когда аутентифицированный пользователь пытается выполнить действие, на которое у него нет прав. Gateway должен различать эти случаи, даже когда внешний провайдер возвращает унифицированные коды ошибок.
Каскадная обработка ошибок безопасности
В многоуровневой системе безопасности ошибки могут возникать на разных этапах: при разборе заголовков, проверке токена, валидации claims, проверке прав доступа. Архитектура должна обеспечивать согласованную обработку всех типов ошибок с сохранением контекста, необходимого для отладки и аудита.
Обработчик ошибок должен анализировать тип исключения, контекст запроса (путь, метод, заголовки) и состояние аутентификации пользователя. На основе этого анализа формируется структурированный ответ, который предоставляет клиенту достаточно информации для исправления проблемы, но не раскрывает детали реализации системы безопасности.
Важной практикой является логгирование ошибок безопасности с различным уровнем детализации: краткая информация для продакшн окружения (чтобы не раскрывать уязвимости) и полная трассировка для отладочных окружений. Логи должны включать идентификатор запроса, тип ошибки, идентификатор пользователя (если известен) и метку времени, но не должны содержать чувствительные данные, такие как пароли или полное содержимое токенов.
#Java #middle #Spring_Cloud_Gateway
Архитектурные паттерны интеграции
Интеграция Gateway с внешними провайдерами аутентификации (Keycloak, Auth0, Okta) следует одному из двух архитектурных паттернов: делегированной аутентификации или федерации идентификации.
При делегированной аутентификации Gateway перенаправляет клиента к внешнему провайдеру для аутентификации, а затем получает токен, который использует для доступа к внутренним сервисам. Gateway в этом случае выступает как OAuth2 client или OpenID Connect Relying Party. Этот паттерн обеспечивает максимальную безопасность, так как учётные данные никогда не проходят через Gateway, но создаёт дополнительное взаимодействие с внешним сервисом.
Федерация идентификации предполагает, что Gateway самостоятельно проверяет токены, выпущенные внешним провайдером, используя публичные ключи или эндпоинты обнаружения. Gateway загружает конфигурацию провайдера (например, из .well-known/openid-configuration) и кэширует публичные ключи для проверки подписи. Этот паттерн уменьшает зависимость от внешнего сервиса во время обработки каждого запроса, но требует тщательной настройки механизмов обновления ключей и конфигурации.
Обработка ошибок безопасности в реактивном контексте
Теория обработки исключений в реактивных цепочках
В реактивном программировании исключения обрабатываются иначе, чем в императивном коде. Вместо блоков try-catch используются операторы onErrorResume, onErrorReturn и doOnError, которые позволяют обрабатывать ошибки в потоке данных без прерывания выполнения цепочки.
Когда фильтр безопасности обнаруживает нарушение (например, невалидный токен или недостаточные права), он не бросает исключение в традиционном смысле, а возвращает Mono.error(), который создаёт сигнал ошибки в реактивном потоке. Этот сигнал затем перехватывается обработчиками ошибок, которые преобразуют его в соответствующий HTTP-ответ.
Архитектурно важно различать ошибки аутентификации (401) и авторизации (403). Ошибки аутентификации указывают на проблему с установлением личности пользователя, в то время как ошибки авторизации возникают, когда аутентифицированный пользователь пытается выполнить действие, на которое у него нет прав. Gateway должен различать эти случаи, даже когда внешний провайдер возвращает унифицированные коды ошибок.
Каскадная обработка ошибок безопасности
В многоуровневой системе безопасности ошибки могут возникать на разных этапах: при разборе заголовков, проверке токена, валидации claims, проверке прав доступа. Архитектура должна обеспечивать согласованную обработку всех типов ошибок с сохранением контекста, необходимого для отладки и аудита.
Обработчик ошибок должен анализировать тип исключения, контекст запроса (путь, метод, заголовки) и состояние аутентификации пользователя. На основе этого анализа формируется структурированный ответ, который предоставляет клиенту достаточно информации для исправления проблемы, но не раскрывает детали реализации системы безопасности.
Важной практикой является логгирование ошибок безопасности с различным уровнем детализации: краткая информация для продакшн окружения (чтобы не раскрывать уязвимости) и полная трассировка для отладочных окружений. Логи должны включать идентификатор запроса, тип ошибки, идентификатор пользователя (если известен) и метку времени, но не должны содержать чувствительные данные, такие как пароли или полное содержимое токенов.
#Java #middle #Spring_Cloud_Gateway
👍2
RBAC и ABAC в контексте Gateway
Теоретические основы контроля доступа
Role-Based Access Control (RBAC) и Attribute-Based Access Control (ABAC) представляют собой две парадигмы контроля доступа, которые могут быть реализованы на уровне Gateway.
RBAC основывается на концепции ролей — именованных наборов разрешений. Пользователям назначаются роли, а ролям — разрешения на выполнение операций. В контексте Gateway роли могут быть определены как в терминах бизнес-функций (ADMIN, USER, GUEST), так и в терминах технических возможностей (READ_ONLY, WRITE_ACCESS, CONFIGURATION_MANAGER). Gateway проверяет наличие у пользователя роли, необходимой для доступа к конкретному маршруту.
ABAC использует атрибуты для принятия решений об авторизации. Атрибутами могут быть свойства пользователя (отдел, уровень доступа), ресурса (категория, чувствительность), действия (время суток, метод HTTP) и окружения (расположение, тип устройства). ABAC обеспечивает более гибкий контроль, чем RBAC, но требует более сложной инфраструктуры для оценки политик.
На практике часто используется гибридный подход: RBAC для грубой фильтрации на уровне Gateway и ABAC для детального контроля на уровне бизнес-сервисов. Gateway проверяет базовые роли, необходимые для доступа к группе эндпоинтов, а внутренние сервисы выполняют более детальные проверки на основе атрибутов.
Декларативные политики доступа
Современные подходы к авторизации в Gateway стремятся к декларативным, конфигурируемым политикам, отделённым от кода приложения. Политики доступа могут быть определены в конфигурационных файлах (YAML), базах данных или внешних системах управления политиками.
Пример декларативной политики в YAML:
Такие политики могут быть динамически загружены и применены без перезапуска Gateway, что позволяет оперативно реагировать на изменения требований безопасности.
CORS как механизм безопасности
Теория Cross-Origin Resource Sharing
CORS (Cross-Origin Resource Sharing) — это механизм безопасности браузеров, который контролирует доступ к ресурсам с разных источников (доменов). Хотя CORS часто рассматривается как препятствие для разработки, на самом деле это критически важный механизм защиты от межсайтовых атак.
Когда браузер выполняет cross-origin запрос, он сначала отправляет preflight запрос (OPTIONS) для проверки, разрешён ли фактический запрос. Gateway должен правильно обрабатывать эти preflight запросы, возвращая соответствующие заголовки CORS без выполнения бизнес-логики.
Теоретически, CORS политики должны быть максимально строгими: разрешать только необходимые домены, методы и заголовки. Распространённая ошибка — использование wildcard (*) для Access-Control-Allow-Origin, которая открывает API для любого сайта в интернете. Вместо этого Gateway должен динамически определять разрешённый origin на основе домена запроса или конфигурации маршрута.
Сочетание CORS с другими механизмами безопасности
CORS не заменяет, а дополняет другие механизмы безопасности. Даже при правильной настройке CORS Gateway всё равно должен проверять аутентификацию и авторизацию, так как CORS защищает только от атак через браузер, но не от прямых HTTP-запросов (через curl, Postman или другие сервисы).
Важным аспектом является согласование CORS политик между Gateway и внутренними сервисами. В идеале, Gateway должен быть единственным компонентом, который устанавливает заголовки CORS, а внутренние сервисы не должны дублировать эту функциональность. Это обеспечивает централизованное управление политиками и предотвращает конфликты конфигураций.
#Java #middle #Spring_Cloud_Gateway
Теоретические основы контроля доступа
Role-Based Access Control (RBAC) и Attribute-Based Access Control (ABAC) представляют собой две парадигмы контроля доступа, которые могут быть реализованы на уровне Gateway.
RBAC основывается на концепции ролей — именованных наборов разрешений. Пользователям назначаются роли, а ролям — разрешения на выполнение операций. В контексте Gateway роли могут быть определены как в терминах бизнес-функций (ADMIN, USER, GUEST), так и в терминах технических возможностей (READ_ONLY, WRITE_ACCESS, CONFIGURATION_MANAGER). Gateway проверяет наличие у пользователя роли, необходимой для доступа к конкретному маршруту.
ABAC использует атрибуты для принятия решений об авторизации. Атрибутами могут быть свойства пользователя (отдел, уровень доступа), ресурса (категория, чувствительность), действия (время суток, метод HTTP) и окружения (расположение, тип устройства). ABAC обеспечивает более гибкий контроль, чем RBAC, но требует более сложной инфраструктуры для оценки политик.
На практике часто используется гибридный подход: RBAC для грубой фильтрации на уровне Gateway и ABAC для детального контроля на уровне бизнес-сервисов. Gateway проверяет базовые роли, необходимые для доступа к группе эндпоинтов, а внутренние сервисы выполняют более детальные проверки на основе атрибутов.
Декларативные политики доступа
Современные подходы к авторизации в Gateway стремятся к декларативным, конфигурируемым политикам, отделённым от кода приложения. Политики доступа могут быть определены в конфигурационных файлах (YAML), базах данных или внешних системах управления политиками.
Пример декларативной политики в YAML:
access-policies:
- resource: /api/users/**
methods: [GET, POST]
required-roles: [USER, ADMIN]
required-permissions: [users:read]
conditions:
- time: "09:00-17:00"
- day-of-week: [MON-FRI]
- resource: /api/admin/**
methods: [*]
required-roles: [ADMIN]
ip-whitelist: [192.168.1.0/24]
Такие политики могут быть динамически загружены и применены без перезапуска Gateway, что позволяет оперативно реагировать на изменения требований безопасности.
CORS как механизм безопасности
Теория Cross-Origin Resource Sharing
CORS (Cross-Origin Resource Sharing) — это механизм безопасности браузеров, который контролирует доступ к ресурсам с разных источников (доменов). Хотя CORS часто рассматривается как препятствие для разработки, на самом деле это критически важный механизм защиты от межсайтовых атак.
Когда браузер выполняет cross-origin запрос, он сначала отправляет preflight запрос (OPTIONS) для проверки, разрешён ли фактический запрос. Gateway должен правильно обрабатывать эти preflight запросы, возвращая соответствующие заголовки CORS без выполнения бизнес-логики.
Теоретически, CORS политики должны быть максимально строгими: разрешать только необходимые домены, методы и заголовки. Распространённая ошибка — использование wildcard (*) для Access-Control-Allow-Origin, которая открывает API для любого сайта в интернете. Вместо этого Gateway должен динамически определять разрешённый origin на основе домена запроса или конфигурации маршрута.
Сочетание CORS с другими механизмами безопасности
CORS не заменяет, а дополняет другие механизмы безопасности. Даже при правильной настройке CORS Gateway всё равно должен проверять аутентификацию и авторизацию, так как CORS защищает только от атак через браузер, но не от прямых HTTP-запросов (через curl, Postman или другие сервисы).
Важным аспектом является согласование CORS политик между Gateway и внутренними сервисами. В идеале, Gateway должен быть единственным компонентом, который устанавливает заголовки CORS, а внутренние сервисы не должны дублировать эту функциональность. Это обеспечивает централизованное управление политиками и предотвращает конфликты конфигураций.
#Java #middle #Spring_Cloud_Gateway
👍3
Что выведет код?
#Tasks
import java.util.*;
public class Task191225 {
public static void main(String[] args) {
Deque<String> deque1 = new LinkedList<>();
Deque<String> deque2 = new ArrayDeque<>();
System.out.println(deque1.getFirst());
System.out.println(deque2.getFirst());
}
}
#Tasks
👍1
Варианты ответа:
Anonymous Quiz
25%
null null
38%
null исключение
25%
исключение исключение
13%
исключение null
👍1
Вопрос с собеседований
Что такое Phaser?🤓
Ответ:
Phaser — продвинутый синхронизатор, похожий на CyclicBarrier, но гибче.
Поддерживает динамическое добавление и удаление участников фаз.
Подходит для многослойных алгоритмов, где количество потоков может меняться.
#собеседование
Что такое Phaser?
Ответ:
Поддерживает динамическое добавление и удаление участников фаз.
Подходит для многослойных алгоритмов, где количество потоков может меняться.
#собеседование
Please open Telegram to view this post
VIEW IN TELEGRAM
👍2