Lombok - tag - 沐木https://oldletter.cn/tags/lombok/Lombok - tag - 沐木Hugo -- gohugo.iozh-cnTue, 10 Sep 2024 00:00:00 +0000Lombok 进阶指南：从注解原理到 Spring Boot 最佳实践https://oldletter.cn/posts/java-01-lombok/Mon, 20 Mar 2023 00:00:00 +0000mumuhttps://oldletter.cn/posts/java-01-lombok/

📅 2026-05-15 | 🏷️ Java, Lombok, Spring Boot | 📖 阅读约 15 分钟

前言

Lombok 大家都在用，但你真的用对了吗？

很多团队把 Lombok 当成"少写 getter/setter 的工具"，结果在生产环境踩了一堆坑：@Data 导致的 StackOverflowError、序列化失败、MapStruct 不兼容……

这篇文章并非入门教程，重点是进阶实战指南，我会从注解的底层原理讲起，结合 Spring Boot 3.x 工程实践，帮你避开那些"写了半天 debug 两小时"的坑。

适合读者：有 Lombok 基础使用经验，想深入了解原理和成熟实践的 Java 开发者。

版本说明
本文以 Lombok 1.18.x 的常见行为为基准。Spring Boot 3.x + JDK 17/21 用户请参考第五节的兼容性说明；如果使用更高版本 JDK，记得同步升级 Lombok，否则很容易在编译期踩坑。

一、基础核心注解的"隐藏陷阱"

1.1 @Data：方便但危险

@Data 是 Lombok 更常用的注解，它等价于 @Getter + @Setter + @ToString + @EqualsAndHashCode + @RequiredArgsConstructor。听起来很美好，但问题恰恰出在这个"全家桶"上。

]]>API 鉴权实战（一）：AK/SK、API Key、RBAC 与统一认证授权架构设计https://oldletter.cn/posts/api-auth-01-aksk-rbac/Tue, 10 Sep 2024 00:00:00 +0000mumuhttps://oldletter.cn/posts/api-auth-01-aksk-rbac/

作者：林 | 系列：API 鉴权实战 | 适合读者：Java 后端/架构师

本文代码使用 Lombok 简化 POJO，所有 getter/setter/builder 均由 Lombok 自动生成。

<!-- pom.xml -->
<dependency>
    <groupId>org.projectlombok</groupId>
    <artifactId>lombok</artifactId>
    <scope>provided</scope>
</dependency>

一、背景：为什么要做 API 鉴权

对外暴露 API 时，两个核心问题绕不开：

  1. 调用方是谁？（认证，Authentication）
  2. 他能做什么？（授权，Authorization）

简单的内部系统可能用一个 API Key 就够了。但当系统开始支持多租户、第三方接入、AI 开放平台、文件上传、额度控制时，单一的鉴权方式撑不住。你需要一套完整的体系：从密钥管理到权限判断，从缓存设计到上下文传递。

本文从更基础的 API Key 讲起，逐步构建到 PDP 策略决策点，把认证授权的全链路打通。

二、五种鉴权方式详解

2.1 API Key

原理： 给每个调用方分配一个唯一的密钥字符串，请求时放在 Header 里，服务端查库校验。

适用场景： 内部服务间调用、快速原型、低安全要求的公开 API。

不适用场景： 对外开放的 API，API Key 是静态的，明文传输，一旦被截获攻击者就能冒充调用方。

]]>