Spring Boot实现关注后资源下载：权限校验、安全分发与行为追踪

在实际项目开发中，我们经常遇到需要根据用户行为（例如关注、点赞、分享）来触发特定资源（如安装包、文档、优惠券）分发的需求。这种“关注后获取资源”的模式，在应用推广、社区运营、知识付费等场景中非常普遍。它不仅仅是前端一个按钮的交互，更涉及后端的权限校验、资源安全存储、下载链接生成与防刷、以及完整的数据追踪链路。

本文将围绕“关注发安装包”这一核心需求，拆解其背后的技术实现。我们将从零开始，构建一个最小可用的后端服务，它能够验证用户关注状态，生成安全的安装包下载链接，并记录下载行为。整个过程会涵盖用户认证、资源管理、安全策略和基础的数据统计。无论你是需要快速实现一个类似功能的开发者，还是希望理解此类交互背后的完整技术栈，都可以按照本文的步骤进行实践。

1. 理解“关注发安装包”的核心逻辑与架构

在动手写代码之前，必须理清整个流程的业务逻辑和技术边界。一个健壮的实现需要考虑多个环节，而不仅仅是“用户点了按钮就返回一个文件”。

1.1 业务流程拆解

一个完整的“关注发安装包”流程通常包含以下步骤：

1. 用户触发：用户在客户端（如App、小程序、H5页面）执行“关注”操作。
2. 状态同步：客户端将关注成功的凭证（如用户ID、被关注对象ID）发送至后端进行验证。
3. 权限校验：后端服务验证该用户是否确实完成了关注动作。这一步至关重要，防止未关注用户直接绕过前端获取资源。
4. 资源准备：校验通过后，后端需要定位到对应的安装包文件。安装包不应直接暴露在公网可访问的目录下。
5. 链接生成：后端动态生成一个有时效性、且难以伪造的下载令牌（Token），并拼装成临时下载链接返回给客户端。
6. 下载与记录：客户端使用该临时链接发起下载。后端在提供文件流的同时，记录本次下载行为（谁、何时、下载了什么），用于后续分析和防刷。
7. 链接失效：下载完成后或令牌过期后，该临时链接应立即失效。

1.2 技术架构选型

为了清晰演示，我们采用一个经典、轻量的技术栈：

• 后端框架：Spring Boot (Java)。它提供了快速构建RESTful API和集成各种组件的能力。
• 安全与令牌：使用JWT (JSON Web Token) 作为用户认证和生成下载令牌的机制。也可以使用自研的Token方案。
• 存储：
  • 安装包文件：存储在服务器本地文件系统或对象存储（如MinIO、阿里云OSS）。本文为简化，使用本地存储，但会给出对象存储的扩展思路。
  • 数据记录：使用关系型数据库MySQL，记录用户、关注关系、下载日志。
• 核心依赖：下表列出了项目所需的主要依赖及其作用。

注意：版本号请根据你创建项目时的Spring Boot版本进行匹配，建议使用Spring Initializr生成项目骨架。

2. 环境准备与项目初始化

在开始编码前，请确保你的开发环境已经就绪。

2.1 基础环境检查清单

请按顺序确认以下项目：

1. Java：安装JDK 8或以上版本，并配置好JAVA_HOME环境变量。在终端执行java -version验证。
2. Maven：安装Maven 3.6+，用于管理项目依赖和构建。执行mvn -v验证。
3. MySQL：安装MySQL 5.7或8.0，并启动服务。创建一个名为resource_download_db的数据库。

   CREATE DATABASE IF NOT EXISTS `resource_download_db` CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci;

4. IDE：推荐使用IntelliJ IDEA或Eclipse，它们对Spring Boot项目有良好支持。
5. API测试工具：准备Postman或cURL，用于测试接口。

2.2 创建Spring Boot项目

使用 Spring Initializr 网站或IDE内置的Spring Initializr功能创建项目。

• Project: Maven Project
• Language: Java
• Spring Boot: 选择一个稳定版本（如2.7.18）
• Project Metadata:
  • Group:com.example
  • Artifact:resource-download-service
  • Packaging: Jar
• Dependencies: 添加Spring Web,Spring Data JPA,MySQL Driver,Lombok。

生成项目后，用IDE打开。你的pom.xml文件应该已经包含了上述依赖。我们还需要手动添加JWT依赖：

<dependency> <groupId>com.auth0</groupId> <artifactId>java-jwt</artifactId> <version>4.4.0</version> </dependency>

2.3 配置数据库与基础设置

在src/main/resources/application.properties文件中进行配置。我们将其重命名为application.yml以便更清晰地组织配置（YAML格式）。

# 应用配置 server: port: 8080 # 数据库配置 spring: datasource: url: jdbc:mysql://localhost:3306/resource_download_db?useUnicode=true&characterEncoding=utf8&useSSL=false&serverTimezone=Asia/Shanghai username: root # 替换为你的数据库用户名 password: yourpassword # 替换为你的数据库密码 driver-class-name: com.mysql.cj.jdbc.Driver jpa: hibernate: ddl-auto: update # 开发环境使用，自动更新表结构。生产环境应设为 `validate` 或使用Flyway/Liquibase。 show-sql: true # 开发时显示SQL，便于调试 properties: hibernate: dialect: org.hibernate.dialect.MySQL8Dialect format_sql: true # 自定义配置：安装包存储路径和JWT密钥 app: resource: storage-path: ./storage/resources/ # 安装包存放的本地目录 jwt: secret: your-256-bit-secret-key-here-must-be-very-long-and-secure # 用于签名JWT的密钥，必须足够长且复杂 download-token-expire-hours: 1 # 下载链接令牌的有效期（小时）

创建配置类来映射这些自定义配置。在src/main/java/com/example/resourcedownloadservice/config目录下创建AppConfig.java：

package com.example.resourcedownloadservice.config; import lombok.Data; import org.springframework.boot.context.properties.ConfigurationProperties; import org.springframework.context.annotation.Configuration; @Configuration @ConfigurationProperties(prefix = "app") @Data public class AppConfig { private Resource resource = new Resource(); private Jwt jwt = new Jwt(); @Data public static class Resource { private String storagePath; } @Data public static class Jwt { private String secret; private Integer downloadTokenExpireHours; } }

3. 数据模型设计与实现

我们需要设计数据库表来存储用户信息、关注关系、资源信息和下载日志。

3.1 创建实体类 (Entity)

在src/main/java/com/example/resourcedownloadservice/entity目录下创建以下实体类。

User.java (用户实体)

package com.example.resourcedownloadservice.entity; import lombok.Data; import javax.persistence.*; import java.time.LocalDateTime; @Entity @Table(name = "user") @Data public class User { @Id @GeneratedValue(strategy = GenerationType.IDENTITY) private Long id; private String username; // 用户名 private String email; // 邮箱（可用于登录） // 其他字段如密码（加密后）、头像等，此处简化 private LocalDateTime createTime; }

FollowRelation.java (关注关系实体)

package com.example.resourcedownloadservice.entity; import lombok.Data; import javax.persistence.*; import java.time.LocalDateTime; @Entity @Table(name = "follow_relation", uniqueConstraints = {@UniqueConstraint(columnNames = {"followerId", "followedId"})}) // 唯一约束，防止重复关注 @Data public class FollowRelation { @Id @GeneratedValue(strategy = GenerationType.IDENTITY) private Long id; private Long followerId; // 关注者ID private Long followedId; // 被关注者ID（例如，一个公众号、作者的ID） private LocalDateTime followTime; }

关键点：uniqueConstraints确保了同一用户不能重复关注同一个目标，这是业务逻辑正确性的基础。

Resource.java (资源实体，代表安装包)

package com.example.resourcedownloadservice.entity; import lombok.Data; import javax.persistence.*; import java.time.LocalDateTime; @Entity @Table(name = "resource") @Data public class Resource { @Id @GeneratedValue(strategy = GenerationType.IDENTITY) private Long id; private String name; // 资源名称，如“App_v1.2.3.apk” private String description; // 描述 private String filePath; // 文件在服务器上的存储路径（相对或绝对） private String originalFileName; // 原始文件名 private Long fileSize; // 文件大小（字节） private String fileHash; // 文件哈希值（如MD5），用于校验文件完整性 private Boolean isActive = true; // 资源是否可用 private Long relatedTargetId; // 关联的目标ID（例如，关注哪个作者或公众号后可以下载） private LocalDateTime createTime; }

DownloadLog.java (下载日志实体)

package com.example.resourcedownloadservice.entity; import lombok.Data; import javax.persistence.*; import java.time.LocalDateTime; @Entity @Table(name = "download_log") @Data public class DownloadLog { @Id @GeneratedValue(strategy = GenerationType.IDENTITY) private Long id; private Long userId; private Long resourceId; private String downloadToken; // 本次下载使用的令牌 private String clientIp; // 客户端IP，用于风控 private String userAgent; // 用户代理 private LocalDateTime downloadTime; private Boolean success; // 是否成功下载 }

3.2 创建数据访问层 (Repository)

Spring Data JPA 会为我们自动实现基础的CRUD方法。在src/main/java/com/example/resourcedownloadservice/repository目录下创建接口。

FollowRelationRepository.java

package com.example.resourcedownloadservice.repository; import com.example.resourcedownloadservice.entity.FollowRelation; import org.springframework.data.jpa.repository.JpaRepository; import java.util.Optional; public interface FollowRelationRepository extends JpaRepository<FollowRelation, Long> { // 检查用户是否关注了特定目标 Optional<FollowRelation> findByFollowerIdAndFollowedId(Long followerId, Long followedId); // 统计用户关注的目标数量（可选） Long countByFollowerId(Long followerId); }

ResourceRepository.java和DownloadLogRepository.java暂时只需继承JpaRepository，使用默认方法即可。

4. 核心业务逻辑与接口实现

接下来实现验证关注状态、生成下载令牌和提供下载的核心服务。

4.1 工具类：JWT令牌服务

创建src/main/java/com/example/resourcedownloadservice/service/TokenService.java。

package com.example.resourcedownloadservice.service; import com.auth0.jwt.JWT; import com.auth0.jwt.algorithms.Algorithm; import com.auth0.jwt.exceptions.JWTVerificationException; import com.auth0.jwt.interfaces.DecodedJWT; import com.example.resourcedownloadservice.config.AppConfig; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.stereotype.Service; import java.util.Date; import java.util.HashMap; import java.util.Map; @Service public class TokenService { @Autowired private AppConfig appConfig; private Algorithm getAlgorithm() { // 使用配置的密钥创建算法 return Algorithm.HMAC256(appConfig.getJwt().getSecret()); } /** * 生成下载令牌 * @param userId 用户ID * @param resourceId 资源ID * @return JWT令牌字符串 */ public String generateDownloadToken(Long userId, Long resourceId) { Date now = new Date(); Date expireTime = new Date(now.getTime() + appConfig.getJwt().getDownloadTokenExpireHours() * 60 * 60 * 1000); Map<String, Object> header = new HashMap<>(); header.put("typ", "JWT"); header.put("alg", "HS256"); return JWT.create() .withHeader(header) .withClaim("userId", userId) .withClaim("resourceId", resourceId) .withClaim("type", "download") // 声明令牌类型，便于区分 .withIssuedAt(now) .withExpiresAt(expireTime) .sign(getAlgorithm()); } /** * 验证并解析下载令牌 * @param token 令牌字符串 * @return 解析后的JWT对象，包含用户和资源信息 * @throws JWTVerificationException 如果令牌无效、过期或签名错误 */ public DecodedJWT verifyDownloadToken(String token) throws JWTVerificationException { return JWT.require(getAlgorithm()) .build() .verify(token); } }

4.2 业务服务层

创建ResourceService.java来处理核心业务。

package com.example.resourcedownloadservice.service; import com.example.resourcedownloadservice.entity.DownloadLog; import com.example.resourcedownloadservice.entity.FollowRelation; import com.example.resourcedownloadservice.entity.Resource; import com.example.resourcedownloadservice.repository.DownloadLogRepository; import com.example.resourcedownloadservice.repository.FollowRelationRepository; import com.example.resourcedownloadservice.repository.ResourceRepository; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.stereotype.Service; import org.springframework.util.StringUtils; import javax.servlet.http.HttpServletRequest; import javax.transaction.Transactional; import java.io.File; import java.io.FileNotFoundException; import java.time.LocalDateTime; import java.util.Optional; @Service public class ResourceService { @Autowired private FollowRelationRepository followRelationRepository; @Autowired private ResourceRepository resourceRepository; @Autowired private DownloadLogRepository downloadLogRepository; @Autowired private TokenService tokenService; @Autowired private AppConfig appConfig; /** * 验证用户关注状态，并生成下载令牌 * @param userId 当前用户ID * @param targetId 需要关注的目标ID（如作者ID） * @param resourceId 请求下载的资源ID * @return 下载令牌，如果验证失败则返回null或抛出业务异常 */ public String verifyAndGenerateToken(Long userId, Long targetId, Long resourceId) { // 1. 检查资源是否存在且可用 Optional<Resource> resourceOpt = resourceRepository.findById(resourceId); if (!resourceOpt.isPresent() || !resourceOpt.get().getIsActive()) { throw new RuntimeException("资源不存在或已下线"); } Resource resource = resourceOpt.get(); // 可选：检查资源是否关联了此targetId if (!targetId.equals(resource.getRelatedTargetId())) { throw new RuntimeException("资源与关注目标不匹配"); } // 2. 验证关注关系 Optional<FollowRelation> relationOpt = followRelationRepository.findByFollowerIdAndFollowedId(userId, targetId); if (!relationOpt.isPresent()) { throw new RuntimeException("请先完成关注操作"); } // 3. 一切正常，生成下载令牌 return tokenService.generateDownloadToken(userId, resourceId); } /** * 根据令牌下载资源 * @param downloadToken 下载令牌 * @param request HttpServletRequest，用于获取客户端信息 * @return 可下载的File对象 */ @Transactional public File downloadByToken(String downloadToken, HttpServletRequest request) throws FileNotFoundException { // 1. 验证令牌 com.auth0.jwt.interfaces.DecodedJWT jwt; try { jwt = tokenService.verifyDownloadToken(downloadToken); } catch (Exception e) { throw new RuntimeException("下载链接已失效或非法", e); } Long userId = jwt.getClaim("userId").asLong(); Long resourceId = jwt.getClaim("resourceId").asLong(); String tokenType = jwt.getClaim("type").asString(); if (!"download".equals(tokenType)) { throw new RuntimeException("令牌类型错误"); } // 2. 获取资源信息 Resource resource = resourceRepository.findById(resourceId) .orElseThrow(() -> new RuntimeException("资源不存在")); if (!resource.getIsActive()) { throw new RuntimeException("资源已下线"); } // 3. 构建文件路径 String filePath = resource.getFilePath(); if (!StringUtils.hasText(filePath)) { throw new RuntimeException("资源文件路径错误"); } File file = new File(appConfig.getResource().getStoragePath() + filePath); if (!file.exists() || !file.isFile()) { throw new FileNotFoundException("资源文件不存在: " + file.getAbsolutePath()); } // 4. 记录下载日志（无论成功与否，先记录尝试） DownloadLog log = new DownloadLog(); log.setUserId(userId); log.setResourceId(resourceId); log.setDownloadToken(downloadToken); log.setClientIp(getClientIp(request)); log.setUserAgent(request.getHeader("User-Agent")); log.setDownloadTime(LocalDateTime.now()); log.setSuccess(false); // 初始为false，如果后续文件流成功输出，可在Controller层改为true downloadLogRepository.save(log); // 5. 返回文件对象（Controller层负责将文件流写入响应） return file; } private String getClientIp(HttpServletRequest request) { // 一个简单的获取客户端IP的方法，生产环境需要考虑代理 String ip = request.getHeader("X-Forwarded-For"); if (ip == null || ip.length() == 0 || "unknown".equalsIgnoreCase(ip)) { ip = request.getRemoteAddr(); } return ip; } }

4.3 控制器层 (Controller)

创建REST接口供客户端调用。

ResourceController.java

package com.example.resourcedownloadservice.controller; import com.example.resourcedownloadservice.service.ResourceService; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.core.io.FileSystemResource; import org.springframework.core.io.Resource; import org.springframework.http.HttpHeaders; import org.springframework.http.MediaType; import org.springframework.http.ResponseEntity; import org.springframework.web.bind.annotation.*; import javax.servlet.http.HttpServletRequest; import java.io.File; import java.io.FileNotFoundException; import java.net.URLEncoder; import java.nio.charset.StandardCharsets; @RestController @RequestMapping("/api/resource") public class ResourceController { @Autowired private ResourceService resourceService; /** * 申请下载令牌接口 * @param userId 用户ID（实际应从会话或Token中获取，此处为演示简化） * @param targetId 关注的目标ID * @param resourceId 资源ID * @return 包含临时下载链接的响应 */ @GetMapping("/apply") public ResponseEntity<?> applyForDownload(@RequestParam Long userId, @RequestParam Long targetId, @RequestParam Long resourceId) { try { String token = resourceService.verifyAndGenerateToken(userId, targetId, resourceId); // 构建下载链接（实际项目中，域名和路径应可配置） String downloadUrl = String.format("/api/resource/download?token=%s", token); return ResponseEntity.ok().body(new ApplyResponse(true, "success", downloadUrl, token)); } catch (Exception e) { return ResponseEntity.badRequest().body(new ApplyResponse(false, e.getMessage(), null, null)); } } /** * 使用令牌下载文件 * @param token 下载令牌 * @param request HttpServletRequest * @return 文件流响应 */ @GetMapping("/download") public ResponseEntity<Resource> download(@RequestParam String token, HttpServletRequest request) { try { File file = resourceService.downloadByToken(token, request); // 这里可以更新日志状态为成功，略去 FileSystemResource fileResource = new FileSystemResource(file); // 设置响应头，使浏览器以下载方式处理 HttpHeaders headers = new HttpHeaders(); headers.add(HttpHeaders.CONTENT_DISPOSITION, "attachment; filename=\"" + URLEncoder.encode(file.getName(), StandardCharsets.UTF_8.toString()) + "\""); headers.add(HttpHeaders.CACHE_CONTROL, "no-cache, no-store, must-revalidate"); headers.add(HttpHeaders.PRAGMA, "no-cache"); headers.add(HttpHeaders.EXPIRES, "0"); return ResponseEntity.ok() .headers(headers) .contentLength(file.length()) .contentType(MediaType.APPLICATION_OCTET_STREAM) .body(fileResource); } catch (FileNotFoundException e) { return ResponseEntity.notFound().build(); } catch (Exception e) { return ResponseEntity.badRequest().build(); } } // 内部类，用于封装申请响应 static class ApplyResponse { private Boolean success; private String message; private String downloadUrl; private String token; // 构造器、Getter、Setter 略（可使用Lombok @Data） public ApplyResponse(Boolean success, String message, String downloadUrl, String token) { this.success = success; this.message = message; this.downloadUrl = downloadUrl; this.token = token; } // ... getters and setters } }

5. 运行验证与测试

5.1 准备测试数据与文件

1. 启动应用：运行ResourceDownloadServiceApplication的 main 方法。JPA会自动创建数据库表。
2. 插入测试数据：可以通过SQL脚本或编写一个简单的初始化Service来插入数据。

   -- 插入一个测试用户 INSERT INTO user (username, email, create_time) VALUES ('test_user', 'test@example.com', NOW()); -- 插入一个被关注目标（例如公众号ID为1001） -- 插入一个资源，关联目标1001 INSERT INTO resource (name, description, file_path, original_file_name, file_size, file_hash, is_active, related_target_id, create_time) VALUES ('MyApp_v1.0.apk', '示例应用安装包', 'myapp.apk', 'MyApp_v1.0.apk', 1024000, 'abc123hash', 1, 1001, NOW()); -- 插入关注关系（用户1关注了目标1001） INSERT INTO follow_relation (follower_id, followed_id, follow_time) VALUES (1, 1001, NOW());

3. 放置安装包文件：将你的测试APK文件（例如myapp.apk）放入配置的存储目录./storage/resources/下（相对于项目根目录）。

5.2 接口测试流程

使用Postman按顺序测试：

1. 测试申请令牌（未关注情况）：

   • URL:GET http://localhost:8080/api/resource/apply?userId=1&targetId=999&resourceId=1
   • 预期：返回错误，提示“请先完成关注操作”。

2. 测试申请令牌（已关注情况）：

   • URL:GET http://localhost:8080/api/resource/apply?userId=1&targetId=1001&resourceId=1
   • 预期：返回成功，包含downloadUrl和token字段。

3. 测试下载文件：

   • 复制上一步返回的downloadUrl，或直接构造URL：GET http://localhost:8080/api/resource/download?token=eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9...
   • 预期：浏览器或Postman会触发文件下载，下载到本地的文件应与服务器上的myapp.apk一致。

4. 检查数据库：查看download_log表，应该有一条记录，记录了本次下载的用户、资源、IP等信息。

5.3 验证关键安全特性

1. 令牌篡改：尝试修改Token中的某个字符再次请求下载，应返回“下载链接已失效或非法”。
2. 令牌复用：使用同一个Token第二次请求下载，我们的逻辑允许（因为只验证JWT有效性）。如果业务要求单次有效，需要在DownloadLog中记录Token已使用，并在downloadByToken方法中检查。
3. 文件遍历攻击：尝试在Token中注入../等路径，由于我们是通过resourceId从数据库获取文件路径，而不是直接使用用户输入，因此是安全的。

6. 常见问题排查与优化

在实际部署和运行中，你可能会遇到以下问题。

6.1 启动与配置类问题

6.2 业务逻辑问题

6.3 安全与性能优化建议

1. 令牌单次有效性：上述实现允许令牌在有效期内多次下载。若需单次有效，可在生成令牌时存入Redis并设置过期时间，下载时验证并删除。
2. 防刷与限流：基于userId、clientIp进行限流，防止恶意刷下载。可以使用Spring Boot Actuator、Resilience4j或网关层（如Nginx）实现。
3. 文件存储外置化：生产环境强烈建议使用对象存储（如阿里云OSS、腾讯云COS、自建MinIO）。只需将ResourceService中返回File的逻辑，改为返回对象存储的预签名URL或直接重定向。
4. 用户认证集成：本例简化了用户认证，直接传递userId。实际项目应集成Spring Security或OAuth2，从安全上下文中获取当前登录用户ID。
5. 异步记录日志：下载日志记录是I/O操作，可以考虑使用@Async异步处理，避免阻塞下载响应线程。
6. 链接隐藏与美化：直接返回带Token的URL可能较长。可以生成一个短码（如6位字符）映射到Token，提供/d/{shortCode}这样的美观下载链接。

7. 生产环境部署清单

将本服务投入生产环境前，请务必检查以下事项：

• 配置外置：将application.yml中的敏感信息（数据库密码、JWT密钥）移至环境变量或配置中心。
• 关闭ddl-auto：将spring.jpa.hibernate.ddl-auto改为validate，使用正式的数据库迁移工具管理表结构。
• 对象存储：评估安装包大小和流量，规划使用对象存储服务。
• 监控与告警：接入应用性能监控（APM），监控接口耗时、错误率。对下载失败率设置告警。
• 日志聚合：确保所有日志（尤其是下载日志和异常日志）被收集到ELK或类似系统中，便于排查问题。
• CDN加速：如果安装包是公开分发的，考虑将文件放在CDN上，减轻源站压力。
• 权限细化：/api/resource/apply和/api/resource/download接口应纳入统一的API网关进行认证、授权和限流。

通过以上步骤，我们不仅实现了一个“关注发安装包”的功能，更构建了一个具备权限校验、安全分发、行为追踪的完整资源下载服务后端。你可以在此基础上，根据具体的业务场景（如关注公众号后发资料、完成任务后发优惠券）进行灵活扩展。