Cesium服务安全实践：带Token认证的架构设计与实现

1次阅读

没有评论

共计 2258 个字符，预计需要花费 6 分钟才能阅读完成。

在 WebGIS 应用中，Cesium 作为主流的三维地理空间可视化框架，常需加载敏感数据（如高精度地形、机密区域模型）。传统无鉴权的服务暴露方式存在显著风险：

数据爬取：恶意用户可通过直接访问服务端点批量下载数据
越权访问：未经验证的用户可能获取超出权限范围的地理信息
流量滥用：公开接口可能被劫持用于 DDoS 攻击

通过 Nginx 基础认证或 IP 白名单等方式存在管理维护成本高、灵活性差的问题。Token 认证机制通过动态凭证解决了这些痛点。

对比主流认证方案：

Session-Cookie：
优点：成熟度高，服务端可控性强
缺点：需要服务端存储状态，跨域配置复杂
OAuth2：
优点：适合第三方授权场景
缺点：实现复杂度高，存在过度设计的风险
JWT：
优点：无状态、自包含、天然支持跨域
缺点：Token 无法主动失效

对于 Cesium 这类需要高频请求瓦片数据的场景，JWT 的轻量级特性成为首选。其 Base64 编码的 JSON 结构包含：

{
  "sub": "user123",
  "exp": 1735689600,
  "tiles": ["L1", "L2"]
}

const jwt = require('jsonwebtoken');
const crypto = require('crypto');

// 生成 RSA 密钥对（生产环境应使用预生成的密钥）const {privateKey} = crypto.generateKeyPairSync('rsa', {
  modulusLength: 2048,
  publicKeyEncoding: {type: 'spki', format: 'pem'},
  privateKeyEncoding: {type: 'pkcs8', format: 'pem'}
});

function generateCesiumToken(user) {
  return jwt.sign(
    {
      // 标准声明
      iss: 'your-issuer',
      sub: user.id,
      exp: Math.floor(Date.now() / 1000) + 3600, // 1 小时过期

      // 自定义声明
      tiles: user.accessLevels, // 可访问的瓦片层级
      bbox: [-180, -90, 180, 90] // 允许访问的地理范围
    },
    privateKey,
    {algorithm: 'RS256'}
  );
}

Nginx 配置示例：

location /cesium-data/ {
  auth_jwt "Cesium Token Realm";
  auth_jwt_key_file /path/to/public_key.pem;
  auth_jwt_algorithm RS256;

  # 将解码后的 claims 传递给后端
  auth_jwt_set_header $jwt_claim_sub;
}

const viewer = new Cesium.Viewer('cesiumContainer', {
  imageryProvider: new Cesium.IonResource.fromAssetId(1234, {
    headers: {'Authorization': `Bearer ${getToken()}`
    }
  }),
  terrainProvider: new Cesium.CesiumTerrainProvider({
    url: '/cesium-data/terrain',
    headers: {'Authorization': `Bearer ${getToken()}`
    }
  })
});

// Token 自动刷新机制
setInterval(() => {if (isTokenExpiringSoon()) {updateAllProvidersToken();
  }
}, 300000); // 每 5 分钟检查