通过（Restful）Web 服务发送邮件的安全方式

Question

我有一个带有 Java 后端的 AngularJS Web 应用程序。

现在我想从 Angular 应用程序中发送邮件。我认为最好的方法是向网络服务发送帖子或获取请求，然后通过内部 smtp 服务器将邮件发送给收件人。

但我认为这个概念存在很大的安全问题。当我创建一个网络服务调用时，例如：/api/mail?mailto=john@doe.com 有人可以获取网络服务的链接，更改收件人并获取此链接以开始向其他人发送垃圾邮件。

有人知道这种架构通过网络服务发送邮件的安全方式吗？我必须将收件人传递给邮件服务，因为用户在 AngularJS UI 中设置了这个。

我很高兴有任何建议。

Answer 1

以下是您应该采取的安全措施来保护您的 rest api。 REST Security Cheat Sheet 以下是您应该为您的 REST API 采取的安全措施列表。

• HTTPS
• 访问控制 - 访问控制，可以API密钥，OAuth等看看这篇文章https://stormpath.com/blog/secure-your-rest-api-right-way
• 限制 HTTP 方法 - 可以在控制器中处理。
• 安全标头 - 使用适当的安全标头来防止 CORS、CSRF 攻击。 （您在问题中指定的攻击）。看看这篇文章https://docs.spring.io/spring-security/site/docs/current/reference/html/csrf.html。
• 在 HTTP POST 请求中传递敏感信息

如果您使用 spring-security，您将了解其中的大部分内容。

Answer 2

使用Mailgun。您可以免费发送 10,000 封电子邮件，您可以通过 Java 后端调用 API，如下所示：

public static ClientResponse SendSimpleMessage() {
    Client client = Client.create();
    client.addFilter(new HTTPBasicAuthFilter(
        "api","key-3ax6xnjp29jd6fds4gc373sgvjxteol0"));
    WebResource webResource = client.resource(
        "https://api.mailgun.net/v3/samples.mailgun.org/messages");
    MultivaluedMapImpl formData = new MultivaluedMapImpl();
    formData.add("from", "Excited User <excited@samples.mailgun.org>");
    formData.add("to", "john@doe.com");
    formData.add("subject", "Hello");
    formData.add("text", "Testing some Mailgun awesomeness!");
    return webResource.type(MediaType.APPLICATION_FORM_URLENCODED).
        post(ClientResponse.class, formData);
}

这将比您的实施更安全。我还会将来自 Angular 客户端的电子邮件地址作为 POST 发送到您的 Java 后端。