微服务架构学习路径：从入门到安全实践指南

你有没有遇到过这种情况：公司系统越来越复杂，一个功能改一下，整个应用就得重新上线，动不动就出问题。就像家里老房子水管坏了，结果要拆墙、换地板，折腾一大圈。微服务架构就是为了解决这类问题而生的，它把大系统拆成一个个小服务，各管各的，修水管不用再动地板。

先搞明白什么是微服务

微服务不是新技术，而是一种设计思路。想象你开了一家餐厅，以前是厨师一个人炒菜、端盘、收钱，忙得团团转。现在你请了专人负责点餐、后厨、配送，每个人干一件事，效率高还不容易出错。微服务也是这个道理，每个服务只做一件事，比如用户管理、订单处理、支付接口，彼此独立又协同工作。

从基础技术入手

想学微服务，得先会用一些基本工具。HTTP协议、RESTful接口这些是沟通语言，就像服务员和厨房之间靠点菜单交流。Spring Boot 是很多人入门的起点，因为它能让 Java 程序快速跑起来。比如写个简单的用户查询服务：

package com.example.user;

import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

@SpringBootApplication
public class UserServiceApplication {

    public static void main(String[] args) {
        SpringApplication.run(UserServiceApplication.class, args);
    }
}

@RestController
class UserController {

    @GetMapping("/user")
    public String getUser() {
        return "{\"name\": \"张三\", \"role\": \"customer\"}";
    }
}

这段代码启动后，访问 /user 就能拿到数据。虽然简单，但已经是一个独立运行的服务了。

服务之间怎么安全通信

多个服务之间频繁交互，安全性不能马虎。比如支付服务不能随便让人调用，否则分分钟被刷爆。常见的做法是加一层认证，比如用 JWT（JSON Web Token）来验证身份。每次请求都带上令牌，像进小区要刷卡一样，没卡不让进。

在 Spring Security 中可以这样配置：

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.csrf().disable()
           .authorizeRequests()
           .requestMatchers("/public/**").permitAll()
           .anyRequest().authenticated()
           .and()
           .httpBasic();
        return http.build();
    }
}

这样一来，除了公开接口，其他都要登录才能访问。

别忘了服务发现和网关

服务一多，怎么找对方就成了问题。比如订单服务想找用户服务，总不能硬编码 IP 地址吧？那就太脆弱了，换台机器就得改代码。这时候可以用 Eureka 或 Nacos 做服务注册与发现，所有服务启动时自己报到，别人想调用就去查名单。

API 网关则是统一入口，所有外部请求先经过它，再转发给具体服务。它还能做限流、日志、权限检查，相当于大楼的前台，帮你过滤骚扰电话。

数据隔离与安全存储

每个微服务最好有自己的数据库，避免互相干扰。比如用户服务用 MySQL 存账号信息，订单服务用 PostgreSQL 记录交易，彼此不共享表。就算一个库被拖慢，也不会波及别的服务。

敏感数据如密码必须加密，别存明文。Spring Data JPA 配合 Hibernate 可以在保存前自动处理：

@Entity
public class User {

    @Id
    private String username;

    private String password;

    // 保存前自动加密
    @PrePersist
    @PreUpdate
    public void encryptPassword() {
        this.password = BCrypt.hashpw(this.password, BCrypt.gensalt());
    }
}

这样即使数据库泄露，攻击者也难直接拿到原始密码。

监控与应急响应

服务多了，出问题怎么定位？ELK（Elasticsearch + Logstash + Kibana）或者 Prometheus + Grafana 是常用组合。比如某个服务突然响应变慢，通过监控图表一眼就能看出是 CPU 占用飙升还是数据库超时。