java接口安全<干货篇>

秒速五厘米 2022-10-01 13:53 108阅读 0赞

这辈子没办法做太多事情，所以每一件都要做到精彩绝伦！

People can't do too many things in my life,so everything will be wonderful

需要用到加解密工具类、自定义白名单

# 接口安全 #

# 1接口安全理论 #

接口的安全性主要围绕Token、Timestamp（ts）和Sign三个机制展开设计，保证接口的数据不会被篡改和重复调用，下面具体来看：

**Token****授权机制：**用户使用用户名密码登录后服务器给客户端返回一个Token（通常是UUID或是经过一定规则加密的字符串），并将Token:UserId以键值对的形式存放在缓存服务器（redis）中。服务端接收到请求后进行Token验证，如果Token不存在，说明请求无效。

**时间戳****ts****超时机制：**用户每次请求都带上当前时间的时间戳timestamp(ts)，服务端接收到timestamp后跟当前时间进行比对，如果时间差大于一定时间（比如5分钟），则认为该请求失效，这个时间要保证足够完成本次请求的同时尽量短，可以减少缓存服务器的压力（见签名机制）。

**签名机制：**将Token和时间戳加上其他请求参数（也可加上用户个人私钥：盐）进行MD5或SHA-1算法（可根据情况加点盐）加密，加密后的数据为本次请求的签名sign。服务端接收到请求后以同样的算法得到签名，并跟当前的签名进行比对，如果不一样，说明参数被更改过，直接返回错误标识。一样的话，服务端

将该签名存放到缓存服务器（redis）中，超时时间设定为跟时间戳的超时时间一致（这就是为什么要尽量短，二者时间一致可以保证无论在timestamp规定时间内还是外本URL都只能访问一次）同一个签名只能使用一次，如果再次请求发现缓存服务器中已经存在了本次签名，则拒绝服务。

## 1.1实现流程 ##

整个流程如下：

1、客户端通过用户名密码登录服务器并获取Token（或token:salt）

2、客户端生成时间戳timestamp（ts），并将timestamp进行AES加密，作为其中一个参数

3、客户端将所有的参数，包括Token和timestamp（ts）按照自己的算法进行排序\+salt盐，进行加密得到签名sign

4、将token、timestamp（ts）和sign作为请求时必须携带的参数加在每个请求的URL后边（http://url/request?a=aa&b=bb&token=123&timestamp=123&sign=123123123）

5、服务端写一个过滤器对token、timestamp和sign进行验证，只有三个参数都正确且在规定时间内，本次请求才有效（具体实现参考：1.2过滤器实现）

在以上三中机制的保护下，

如果\*\*\*劫持了请求，并对请求中的参数进行了修改，签名就无法通过；

如果\*\*\*使用已经劫持的URL进行DOS\*\*\*，服务器则会因为缓存服务器中已经存在签名而拒绝服务，所以DOS\*\*\*也是不可能的；

如果\*\*\*隔一段时间进行一次DOS\*\*\*（假如这个时间大于签名在缓存服务器中的缓存时长），则会因为时间戳超时而无法完成请求，这就是为什么签名的缓存时长要跟时间戳的超时时长一样。