如何处理ONLYOFFICE文档服务器与Java Web应用间的安全认证和授权

如何处理ONLYOFFICE文档服务器与Java Web应用间的安全认证和授权？

处理 ONLYOFFICE 文档服务器与 Java Web 应用之间的安全认证和授权，通常涉及以下几个关键步骤和技术：

1. JWT (JSON Web Token) 认证

启用 JWT：
- ONLYOFFICE 文档服务器使用 JWT 来保护文档免受未经授权的访问。从 ONLYOFFICE Docs v.7.2 开始，默认启用 JWT，并自动生成密钥。
- 在 ONLYOFFICE 文档服务器的配置文件 local.json 中，确保 JWT 启用，并设置密钥。
```
{"services": {"CoAuthoring": {"token": {"enable": {"request": {"inbox": true,"outbox": true},"browser": true}},"secret": {"inbox": {"string": "yoursecret"},"outbox": {"string": "yoursecret"},"session": {"string": "yoursecret"}}}}
}
```
生成 JWT：
- 在 Java Web 应用中，使用相同的密钥生成 JWT，并将其添加到发送给 ONLYOFFICE 文档服务器的配置中。
- JWT 需要包含文档的相关信息，例如文档 ID、用户权限等。
验证 JWT：
- ONLYOFFICE 文档服务器在接收到请求时，会验证 JWT 的有效性，确保请求的合法性。

2. 生成认证 Token

创建认证 Token：
- ONLYOFFICE 提供 API 认证方式，通过生成一个 Token 并在 HTTP 请求头中传递来实现。
- Token 的格式如下：
```
ASC pkey : datetime : hash
```
  其中pkey是一个随机字符串，datetime是 UTC 时间，hash是使用 HMAC-SHA1 算法计算出的哈希值。

示例代码 (Java)：

import javax.crypto.Mac;
import javax.crypto.spec.SecretKeySpec;
import java.time.OffsetDateTime;
import java.time.ZoneOffset;
import java.time.format.DateTimeFormatter;
import java.util.Base64;public class OnlyOfficeAuth {public static String createAuthToken(String pkey, String machinekey) throws Exception {OffsetDateTime date = OffsetDateTime.now(ZoneOffset.UTC);String time = date.format(DateTimeFormatter.ofPattern("yyyyMMddHHmmss"));String data = time + "\n" + pkey;SecretKeySpec signingKey = new SecretKeySpec(machinekey.getBytes(), "HmacSHA1");Mac mac = Mac.getInstance("HmacSHA1");mac.init(signingKey);String hash = Base64.getUrlEncoder().encodeToString(mac.doFinal(data.getBytes()));return String.format("ASC %1$s:%2$s:%3$s", pkey, time, hash);}
}

传递 Token：
- 将生成的 Token 放在 HTTP 请求的 Authorization 头部中。
```
Authorization: ASC pkey:datetime:hash
```

3. 权限控制

用户角色：
- 在 Java Web 应用中，定义不同的用户角色（例如管理员、编辑者、查看者），并为每个角色分配不同的权限。
文档权限：
- 根据用户角色和文档属性，动态生成 ONLYOFFICE 编辑器的配置。例如，只允许编辑者修改文档，查看者只能查看文档内容。

配置示例：

Config config = new Config();
config.setDocumentId(documentId);
config.setMode(mode); // "edit" or "view"
config.setPermissions(permissions); // 设置用户权限

4. Callback 处理

验证 Callback：
- ONLYOFFICE 文档服务器会通过 Callback URL 将文档的编辑状态和结果通知给 Java Web 应用。
- 在 Callback 处理程序中，验证请求的来源和 JWT 的有效性，确保请求的安全性。
处理逻辑：
- 根据 Callback 的内容，更新文档的状态、保存文档内容等。