別再怕資源泄露！Spring Boot 一站式文件保護方案（簽名鏈接 + 權限 + 限流）

作者：路條編程 2025-11-07 08:01:59

開發前端

本文將帶你構建一個Spring Boot 一站式文件保護方案，結合簽名 URL（Signed URL）、權限驗證與訪問限流三大核心機制，從根源上保障私有資源的訪問安全。

在如今的數據安全時代，文件存儲與訪問控制早已不再是“上傳+下載”那么簡單。企業應用中常常需要防止文件被未授權訪問、暴力請求或外部盜鏈。那么問題來了：我們如何讓文件既能被合法訪問，又不會被暴露？

本文將帶你構建一個Spring Boot 一站式文件保護方案，結合簽名 URL（Signed URL）、權限驗證與訪問限流三大核心機制，從根源上保障私有資源的訪問安全。

方案總覽：簽名 URL + 權限控制 + 限流協同防護

在傳統方案中，文件一旦暴露出直鏈地址，就容易被外部抓取或濫用。而簽名 URL 的機制能有效解決這個問題。

簽名 URL 的運行流程如下：

客戶端 請求獲取文件訪問鏈接；
服務端 校驗權限，通過 HMAC 算法生成帶簽名與過期時間的臨時 URL；
客戶端 使用簽名 URL 發起下載；
服務端 驗證簽名與有效期 → 返回文件內容。

優點：

鏈接短期有效，防止盜鏈；
不暴露真實存儲路徑；
可配合權限系統與限流機制，實現“按需安全訪問”。

項目配置與依賴

Maven 依賴

<dependencies>
    <!-- Spring Boot Web 模塊 -->
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-web</artifactId>
    </dependency>


    <!-- Spring Security 權限控制 -->
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>
</dependencies>

應用配置文件

# 文件存儲路徑（Linux 目錄）
file.storage.path=/usr/local/storage/files


# 簽名有效時間（單位：秒）
signed.url.expiration=300


# 簽名密鑰
signed.url.secret=my-super-secret-key

簽名 URL 核心實現

路徑：/src/main/java/com/icoderoad/security/SignedUrlGenerator.java

package com.icoderoad.security;


import org.springframework.beans.factory.annotation.Value;
import org.springframework.stereotype.Component;


import javax.crypto.Mac;
import javax.crypto.spec.SecretKeySpec;
import java.net.URLEncoder;
import java.nio.charset.StandardCharsets;
import java.util.Base64;


@Component
public class SignedUrlGenerator {


    @Value("${signed.url.expiration}")
    private long expirationTime;


    @Value("${signed.url.secret}")
    private String secretKey;


    // 生成簽名 URL
    public String generateSignedUrl(String filePath) {
        long expires = System.currentTimeMillis() + expirationTime * 1000;
        String data = filePath + "|" + expires;
        String signature = calculateSignature(data, secretKey);


        return "/download?file=" + URLEncoder.encode(filePath, StandardCharsets.UTF_8) +
                "&expires=" + expires +
                "&signature=" + URLEncoder.encode(signature, StandardCharsets.UTF_8);
    }


    // 計算 HMAC-SHA256 簽名
    private String calculateSignature(String data, String key) {
        try {
            Mac hmac = Mac.getInstance("HmacSHA256");
            SecretKeySpec keySpec = new SecretKeySpec(key.getBytes(StandardCharsets.UTF_8), "HmacSHA256");
            hmac.init(keySpec);
            byte[] raw = hmac.doFinal(data.getBytes(StandardCharsets.UTF_8));
            return Base64.getUrlEncoder().withoutPadding().encodeToString(raw);
        } catch (Exception e) {
            throw new RuntimeException("簽名計算失敗", e);
        }
    }


    // 簽名驗證邏輯
    public boolean verifySignature(String filePath, long expires, String signature) {
        if (expires < System.currentTimeMillis()) return false;
        String expected = calculateSignature(filePath + "|" + expires, secretKey);
        return secureEquals(expected, signature);
    }


    // 防時序攻擊的安全比較
    private boolean secureEquals(String a, String b) {
        if (a == null || b == null || a.length() != b.length()) return false;
        int result = 0;
        for (int i = 0; i < a.length(); i++) result |= a.charAt(i) ^ b.charAt(i);
        return result == 0;
    }
}

文件訪問控制器

路徑：/src/main/java/com/icoderoad/controller/FileDownloadController.java

package com.icoderoad.controller;


import com.icoderoad.security.SignedUrlGenerator;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.core.io.Resource;
import org.springframework.core.io.UrlResource;
import org.springframework.http.*;
import org.springframework.security.core.Authentication;
import org.springframework.web.bind.annotation.*;


import java.nio.file.Path;
import java.nio.file.Paths;


@RestController
public class FileDownloadController {


    @Value("${file.storage.path}")
    private String storagePath;


    @Autowired
    private SignedUrlGenerator signedUrlGenerator;


    // 生成帶簽名的訪問 URL
    @GetMapping("/api/signed-url")
    public ResponseEntity<String> generateSignedUrl(@RequestParam String file, Authentication auth) {
        if (!hasAccess(auth, file)) {
            return ResponseEntity.status(HttpStatus.FORBIDDEN).build();
        }
        return ResponseEntity.ok(signedUrlGenerator.generateSignedUrl(file));
    }


    // 文件下載接口
    @GetMapping("/download")
    public ResponseEntity<Resource> downloadFile(@RequestParam String file,
                                                 @RequestParam long expires,
                                                 @RequestParam String signature) {
        try {
            if (!signedUrlGenerator.verifySignature(file, expires, signature)) {
                return ResponseEntity.status(HttpStatus.FORBIDDEN).build();
            }


            Path filePath = Paths.get(storagePath).resolve(file).normalize();


            // 路徑防越權校驗
            if (!filePath.startsWith(Paths.get(storagePath))) {
                return ResponseEntity.status(HttpStatus.FORBIDDEN).build();
            }


            Resource resource = new UrlResource(filePath.toUri());
            if (resource.exists() && resource.isReadable()) {
                return ResponseEntity.ok()
                        .header(HttpHeaders.CONTENT_DISPOSITION, "attachment; filename=\"" + resource.getFilename() + "\"")
                        .body(resource);
            }
            return ResponseEntity.notFound().build();
        } catch (Exception e) {
            return ResponseEntity.internalServerError().build();
        }
    }


    private boolean hasAccess(Authentication auth, String filePath) {
        // TODO: 實現基于角色或文件歸屬的權限檢查
        return true;
    }
}

安全配置（Spring Security）

路徑：/src/main/java/com/icoderoad/config/SecurityConfig.java

package com.icoderoad.config;


import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.*;


@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/download").permitAll()
                .antMatchers("/api/signed-url").authenticated()
                .and()
            .formLogin()
                .and()
            .csrf().disable();
    }
}

進階擴展

云存儲集成（如 AWS S3、阿里云 OSS、MinIO）

當文件存儲在云端時，可以直接生成云端簽名 URL，無需經過本地服務傳輸。

public String generateS3SignedUrl(String bucket, String objectKey) {
    AmazonS3 s3 = AmazonS3ClientBuilder.standard().withRegion(Regions.AP_NORTHEAST_1).build();
    Date expiry = new Date(System.currentTimeMillis() + 5 * 60 * 1000);
    GeneratePresignedUrlRequest request =
            new GeneratePresignedUrlRequest(bucket, objectKey)
                    .withMethod(HttpMethod.GET)
                    .withExpiration(expiry);
    return s3.generatePresignedUrl(request).toString();
}

下載日志記錄與監控

@Component
public class DownloadLogger {
    private static final Logger log = LoggerFactory.getLogger(DownloadLogger.class);


    public void log(String filePath, String user, String ip) {
        log.info("文件下載記錄：file={}, user={}, ip={}", filePath, user, ip);
    }
}

限流保護機制

內存版本（適合單節點部署）：

@Component
public class RateLimiter {


    private final Map<String, List<Long>> accessMap = new ConcurrentHashMap<>();
    private static final int MAX_REQUESTS = 10;
    private static final long WINDOW = 60000; // 1分鐘


    public boolean allow(String ip) {
        long now = System.currentTimeMillis();
        List<Long> list = accessMap.getOrDefault(ip, new ArrayList<>());
        list.removeIf(t -> t < now - WINDOW);
        if (list.size() < MAX_REQUESTS) {
            list.add(now);
            accessMap.put(ip, list);
            return true;
        }
        return false;
    }
}

CDN 簽名 URL 配合

簽名參數可與 CDN 回源校驗結合，既安全又節省服務器流量。

短鏈映射優化

通過 Redis 或數據庫映射 /s/abc123 → /download?...，便于分享與審計。

測試示例

@SpringBootTest
public class SignedUrlTest {


    @Autowired
    private SignedUrlGenerator signedUrlGenerator;


    @Test
    public void testSignature() {
        String filePath = "sample.pdf";
        String signedUrl = signedUrlGenerator.generateSignedUrl(filePath);


        Map<String, String> params = parseQueryParams(signedUrl);


        assertTrue(signedUrlGenerator.verifySignature(
                params.get("file"),
                Long.parseLong(params.get("expires")),
                params.get("signature")
        ));
    }


    private Map<String, String> parseQueryParams(String url) {
        return Arrays.stream(url.split("\\?")[1].split("&"))
                .map(s -> s.split("="))
                .collect(Collectors.toMap(a -> a[0], a -> a[1]));
    }
}

總結：安全訪問的多維護盾

通過本文方案，你可以實現：

私有文件保護 —— 防止未授權訪問訪問時效控制 —— 動態簽名自動失效日志審計與限流 —— 阻斷異常流量支持多端存儲與 CDN 集成 —— 靈活部署、彈性擴展

在生產環境中，強烈建議啟用以下安全加固項：

路徑合法性校驗（防止目錄穿越）
常量時間比較（防時序攻擊）
Redis 分布式限流（防止刷接口）
CDN 簽名參數（降低帶寬消耗）

有了這套方案，無論文件存儲在本地還是云端，你都能讓“文件訪問”既安全又高效，讓敏感資源不再成為系統的軟肋。

責任編輯：武曉燕來源：路條編程

SpringBoot 簽名鏈接限流