如何保證API接口數(shù)據(jù)安全？
點(diǎn)擊上方?藍(lán)字?關(guān)注我們！
每天 11 點(diǎn)更新文章，餓了點(diǎn)外賣，點(diǎn)擊 ??《無門檻外賣優(yōu)惠券，每天免費(fèi)領(lǐng)！》
前后端分離的開發(fā)方式，我們以接口為標(biāo)準(zhǔn)來進(jìn)行推動，定義好接口，各自開發(fā)自己的功能，最后進(jìn)行聯(lián)調(diào)整合。無論是開發(fā)原生的APP還是webapp還是PC端的軟件,只要是前后端分離的模式，就避免不了調(diào)用后端提供的接口來進(jìn)行業(yè)務(wù)交互。
網(wǎng)頁或者app，只要抓下包就可以清楚的知道這個請求獲取到的數(shù)據(jù)，也可以偽造請求去獲取或攻擊服務(wù)器；也對爬蟲工程師來說是一種福音，要抓你的數(shù)據(jù)簡直輕而易舉。那我們怎么去解決這些問題呢？
接口簽名
我們先考慮一下接口數(shù)據(jù)被偽造，以及接口被重復(fù)調(diào)用的問題，要解決這個問題我們就要用到接口簽名的方案，
簽名流程
簽名規(guī)則
1、線下分配appid和appsecret，針對不同的調(diào)用方分配不同的appid和appsecret
2、加入timestamp（時間戳），5分鐘內(nèi)數(shù)據(jù)有效
3、加入臨時流水號?nonce（防止重復(fù)提交），至少為10位。針對查詢接口，流水號只用于日志落地，便于后期日志核查。針對辦理類接口需校驗(yàn)流水號在有效期內(nèi)的唯一性，以避免重復(fù)請求。
4、加入簽名字段signature，所有數(shù)據(jù)的簽名信息。
以上字段放在請求頭中。
簽名的生成
簽名signature字段生成規(guī)則
所有動態(tài)參數(shù) = 請求頭部分 + 請求URL地址 + 請求Request參數(shù) + 請求Body
上面的動態(tài)參數(shù)以key-value的格式存儲，并以key值正序排序，進(jìn)行拼接
最后拼接的字符串 在拼接appSecret
signature =?DigestUtils.md5DigestAsHex(sortParamsMap +?appSecret)
即拼接成一個字符串，然后做md5不可逆加密
請求頭部分
請求頭=“appId=xxxx&nonce=xxxx×tamp=xxxx&sign=xxx”
請求頭中的4個參數(shù)是必須要傳的，否則直接報異常
請求URL地址
這個就是請求接口的地址包含協(xié)議，如
https://mso.xxxx.com.cn/api/user
請求Request參數(shù)
即請求為Get方式的時候，獲取的傳入的參數(shù)
請求Body
即請求為Post時，請求體Body
從request inputstream中獲取保存為String形式
簽名算法實(shí)現(xiàn)
基本原理其實(shí)也比較簡單，就是自定義filter，對每個請求進(jìn)行處理；整體流程如下
1）驗(yàn)證必須的頭部參數(shù)
2）獲取頭部參數(shù)，request參數(shù)，Url請求路徑，請求體Body，把這些值放入SortMap中進(jìn)行排序
3）對SortMap里面的值進(jìn)行拼接
4）對拼接的值進(jìn)行加密，生成sign
5）把生成的sign和前端傳入的sign進(jìn)行比較，如果不相同就返回錯誤
我們來看一下代碼
以上是filter類，其中有個appSecret需要自己業(yè)務(wù)去獲取，它的作用主要是區(qū)分不同客戶端app。并且利用獲取到的appSecret參與到sign簽名，保證了客戶端的請求簽名是由我們后臺控制的，我們可以為不同的客戶端頒發(fā)不同的appSecret。
我們再來看看驗(yàn)證頭部參數(shù)
上圖其實(shí)就是驗(yàn)證是否傳入值；不過其實(shí)有個很重要的一點(diǎn)，就是對此請求進(jìn)行時間驗(yàn)證，如果大于10分鐘表示此鏈接已經(jīng)超時，防止別人來到這個鏈接去請求。這個就是防止盜鏈。
我們在來看看，如何獲取各個參數(shù)
上面我們獲取了各個參數(shù)，相對比較簡單；我們在來看看生成sign，和驗(yàn)證sign
上面的流程中，會有個額外的安全處理，
· 防止盜鏈，我們可以讓鏈接有失效時間
· 利用nonce參數(shù)，防止重復(fù)提交
在簽名驗(yàn)證成功后，判斷是否重復(fù)提交；
原理就是結(jié)合redis，判斷是否已經(jīng)提交過
總結(jié)
今天我們用簽名的方式，對我們對外提供的接口起到了保護(hù)作用；但這種保護(hù)僅僅做到了防止別人篡改請求，或者模擬請求。
但是還是缺少對數(shù)據(jù)自身的安全保護(hù)，即請求的參數(shù)和返回的數(shù)據(jù)都是有可能被別人攔截獲取的，而這些數(shù)據(jù)又是明文的，所以只要被攔截，就能獲得相應(yīng)的業(yè)務(wù)數(shù)據(jù)。
往期推薦
看完文章，餓了點(diǎn)外賣，點(diǎn)擊 ??《無門檻外賣優(yōu)惠券，每天免費(fèi)領(lǐng)！》
END
若覺得文章對你有幫助，隨手轉(zhuǎn)發(fā)分享，也是我們繼續(xù)更新的動力。
長按二維碼，掃掃關(guān)注哦
?「C語言中文網(wǎng)」官方公眾號，關(guān)注手機(jī)閱讀教程??
目前收集的資料包括：?Java，Python，C/C++，Linux，PHP，go，C#，QT，git/svn，人工智能，大數(shù)據(jù)，單片機(jī)，算法，小程序，易語言，安卓，ios，PPT，軟件教程，前端，軟件測試，簡歷，畢業(yè)設(shè)計，公開課?等分類，資源在不斷更新中...