四連問(wèn)：API 接口應(yīng)該如何設(shè)計(jì)？如何保證安全？如何簽名？如何防重？
來(lái)源：cnblogs.com/jurendage/p/12653865.html
一：token 簡(jiǎn)介 二：timestamp 簡(jiǎn)介 三：sign 簡(jiǎn)介 四：防止重復(fù)提交 五：使用流程 六：示例代碼 七: ThreadLocal
說(shuō)明：在實(shí)際的業(yè)務(wù)中，難免會(huì)跟第三方系統(tǒng)進(jìn)行數(shù)據(jù)的交互與傳遞，那么如何保證數(shù)據(jù)在傳輸過(guò)程中的安全呢（防竊取）？除了https的協(xié)議之外，能不能加上通用的一套算法以及規(guī)范來(lái)保證傳輸?shù)陌踩阅兀?/strong>
下面我們就來(lái)討論下常用的一些API設(shè)計(jì)的安全方法，可能不一定是最好的，有更牛逼的實(shí)現(xiàn)方式，但是這篇是我自己的經(jīng)驗(yàn)分享.
Token：訪問(wèn)令牌access token, 用于接口中, 用于標(biāo)識(shí)接口調(diào)用者的身份、憑證，減少用戶(hù)名和密碼的傳輸次數(shù)。一般情況下客戶(hù)端(接口調(diào)用方)需要先向服務(wù)器端申請(qǐng)一個(gè)接口調(diào)用的賬號(hào)，服務(wù)器會(huì)給出一個(gè)appId和一個(gè)key, key用于參數(shù)簽名使用，注意key保存到客戶(hù)端，需要做一些安全處理，防止泄露。
Token的值一般是UUID，服務(wù)端生成Token后需要將token做為key，將一些和token關(guān)聯(lián)的信息作為value保存到緩存服務(wù)器中(redis)，當(dāng)一個(gè)請(qǐng)求過(guò)來(lái)后，服務(wù)器就去緩存服務(wù)器中查詢(xún)這個(gè)Token是否存在，存在則調(diào)用接口，不存在返回接口錯(cuò)誤，一般通過(guò)攔截器或者過(guò)濾器來(lái)實(shí)現(xiàn)，Token分為兩種：
API Token(接口令牌): 用于訪問(wèn)不需要用戶(hù)登錄的接口，如登錄、注冊(cè)、一些基本數(shù)據(jù)的獲取等。獲取接口令牌需要拿appId、timestamp和sign來(lái)?yè)Q，sign=加密(timestamp+key) USER Token(用戶(hù)令牌): 用于訪問(wèn)需要用戶(hù)登錄之后的接口，如：獲取我的基本信息、保存、修改、刪除等操作。獲取用戶(hù)令牌需要拿用戶(hù)名和密碼來(lái)?yè)Q
關(guān)于Token的時(shí)效性：token可以是一次性的、也可以在一段時(shí)間范圍內(nèi)是有效的，具體使用哪種看業(yè)務(wù)需要。
一般情況下接口最好使用https協(xié)議，如果使用http協(xié)議，Token機(jī)制只是一種減少被黑的可能性，其實(shí)只能防君子不能防小人。
一般token、timestamp和sign 三個(gè)參數(shù)會(huì)在接口中會(huì)同時(shí)作為參數(shù)傳遞，每個(gè)參數(shù)都有各自的用途。
timestamp: 時(shí)間戳，是客戶(hù)端調(diào)用接口時(shí)對(duì)應(yīng)的當(dāng)前時(shí)間戳，時(shí)間戳用于防止DoS攻擊。當(dāng)黑客劫持了請(qǐng)求的url去DoS攻擊，每次調(diào)用接口時(shí)接口都會(huì)判斷服務(wù)器當(dāng)前系統(tǒng)時(shí)間和接口中傳的的timestamp的差值，如果這個(gè)差值超過(guò)某個(gè)設(shè)置的時(shí)間(假如5分鐘)，那么這個(gè)請(qǐng)求將被攔截掉，如果在設(shè)置的超時(shí)時(shí)間范圍內(nèi)，是不能阻止DoS攻擊的。timestamp機(jī)制只能減輕DoS攻擊的時(shí)間，縮短攻擊時(shí)間。如果黑客修改了時(shí)間戳的值可通過(guò)sign簽名機(jī)制來(lái)處理。
DoS
DoS是Denial of Service的簡(jiǎn)稱(chēng)，即拒絕服務(wù)，造成DoS的攻擊行為被稱(chēng)為DoS攻擊，其目的是使計(jì)算機(jī)或網(wǎng)絡(luò)無(wú)法提供正常的服務(wù)。最常見(jiàn)的DoS攻擊有計(jì)算機(jī)網(wǎng)絡(luò)帶寬攻擊和連通性攻擊。
DoS攻擊是指故意的攻擊網(wǎng)絡(luò)協(xié)議實(shí)現(xiàn)的缺陷或直接通過(guò)野蠻手段殘忍地耗盡被攻擊對(duì)象的資源，目的是讓目標(biāo)計(jì)算機(jī)或網(wǎng)絡(luò)無(wú)法提供正常的服務(wù)或資源訪問(wèn)，使目標(biāo)系統(tǒng)服務(wù)系統(tǒng)停止響應(yīng)甚至崩潰，而在此攻擊中并不包括侵入目標(biāo)服務(wù)器或目標(biāo)網(wǎng)絡(luò)設(shè)備。這些服務(wù)資源包括網(wǎng)絡(luò)帶寬，文件系統(tǒng)空間容量，開(kāi)放的進(jìn)程或者允許的連接。這種攻擊會(huì)導(dǎo)致資源的匱乏，無(wú)論計(jì)算機(jī)的處理速度多快、內(nèi)存容量多大、網(wǎng)絡(luò)帶寬的速度多快都無(wú)法避免這種攻擊帶來(lái)的后果。
Pingflood: 該攻擊在短時(shí)間內(nèi)向目的主機(jī)發(fā)送大量ping包，造成網(wǎng)絡(luò)堵塞或主機(jī)資源耗盡。 Synflood: 該攻擊以多個(gè)隨機(jī)的源主機(jī)地址向目的主機(jī)發(fā)送SYN包，而在收到目的主機(jī)的SYN ACK后并不回應(yīng)，這樣，目的主機(jī)就為這些源主機(jī)建立了大量的連接隊(duì)列，而且由于沒(méi)有收到ACK一直維護(hù)著這
些隊(duì)列，造成了資源的大量消耗而不能向正常請(qǐng)求提供服務(wù)。
Smurf：該攻擊向一個(gè)子網(wǎng)的廣播地址發(fā)一個(gè)帶有特定請(qǐng)求（如ICMP回應(yīng)請(qǐng)求）的包，并且將源地址偽裝成想要攻擊的主機(jī)地址。子網(wǎng)上所有主機(jī)都回應(yīng)廣播包請(qǐng)求而向被攻擊主機(jī)發(fā)包，使該主機(jī)受到攻擊。 Land-based：攻擊者將一個(gè)包的源地址和目的地址都設(shè)置為目標(biāo)主機(jī)的地址，然后將該包通過(guò)IP欺騙的方式發(fā)送給被攻擊主機(jī)，這種包可以造成被攻擊主機(jī)因試圖與自己建立連接而陷入死循環(huán)，從而很大程度地降低了系統(tǒng)性能。 Ping of Death：根據(jù)TCP/IP的規(guī)范，一個(gè)包的長(zhǎng)度最大為65536字節(jié)。盡管一個(gè)包的長(zhǎng)度不能超過(guò)65536字節(jié)，但是一個(gè)包分成的多個(gè)片段的疊加卻能做到。當(dāng)一個(gè)主機(jī)收到了長(zhǎng)度大于65536字節(jié)的包時(shí)，就是受到了Ping of Death攻擊，該攻擊會(huì)造成主機(jī)的宕機(jī)。 Teardrop：IP數(shù)據(jù)包在網(wǎng)絡(luò)傳遞時(shí)，數(shù)據(jù)包可以分成更小的片段。攻擊者可以通過(guò)發(fā)送兩段（或者更多）數(shù)據(jù)包來(lái)實(shí)現(xiàn)TearDrop攻擊。第一個(gè)包的偏移量為0，長(zhǎng)度為N，第二個(gè)包的偏移量小于N。為了合并這些數(shù)據(jù)段，TCP/IP堆棧會(huì)分配超乎尋常的巨大資源，從而造成系統(tǒng)資源的缺乏甚至機(jī)器的重新啟動(dòng)。 PingSweep：使用ICMP Echo輪詢(xún)多個(gè)主機(jī)。 
nonce：隨機(jī)值，是客戶(hù)端隨機(jī)生成的值，作為參數(shù)傳遞過(guò)來(lái)，隨機(jī)值的目的是增加sign簽名的多變性。隨機(jī)值一般是數(shù)字和字母的組合，6位長(zhǎng)度，隨機(jī)值的組成和長(zhǎng)度沒(méi)有固定規(guī)則。
sign: 一般用于參數(shù)簽名，防止參數(shù)被非法篡改，最常見(jiàn)的是修改金額等重要敏感參數(shù)， sign的值一般是將所有非空參數(shù)按照升續(xù)排序然后+token+key+timestamp+nonce(隨機(jī)數(shù))拼接在一起，然后使用某種加密算法進(jìn)行加密，作為接口中的一個(gè)參數(shù)sign來(lái)傳遞，也可以將sign放到請(qǐng)求頭中。接口在網(wǎng)絡(luò)傳輸過(guò)程中如果被黑客挾持，并修改其中的參數(shù)值，然后再繼續(xù)調(diào)用接口，雖然參數(shù)的值被修改了，但是因?yàn)楹诳筒恢纒ign是如何計(jì)算出來(lái)的，不知道sign都有哪些值構(gòu)成，不知道以怎樣的順序拼接在一起的，最重要的是不知道簽名字符串中的key是什么，所以黑客可以篡改參數(shù)的值，但沒(méi)法修改sign的值，當(dāng)服務(wù)器調(diào)用接口前會(huì)按照sign的規(guī)則重新計(jì)算出sign的值然后和接口傳遞的sign參數(shù)的值做比較，如果相等表示參數(shù)值沒(méi)有被篡改，如果不等，表示參數(shù)被非法篡改了，就不執(zhí)行接口了。
對(duì)于一些重要的操作需要防止客戶(hù)端重復(fù)提交的(如非冪等性重要操作)，具體辦法是當(dāng)請(qǐng)求第一次提交時(shí)將sign作為key保存到redis，并設(shè)置超時(shí)時(shí)間，超時(shí)時(shí)間和Timestamp中設(shè)置的差值相同。當(dāng)同一個(gè)請(qǐng)求第二次訪問(wèn)時(shí)會(huì)先檢測(cè)redis是否存在該sign，如果存在則證明重復(fù)提交了，接口就不再繼續(xù)調(diào)用了。如果sign在緩存服務(wù)器中因過(guò)期時(shí)間到了，而被刪除了，此時(shí)當(dāng)這個(gè)url再次請(qǐng)求服務(wù)器時(shí)，因token的過(guò)期時(shí)間和sign的過(guò)期時(shí)間一直，sign過(guò)期也意味著token過(guò)期，那樣同樣的url再訪問(wèn)服務(wù)器會(huì)因token錯(cuò)誤會(huì)被攔截掉，這就是為什么sign和token的過(guò)期時(shí)間要保持一致的原因。拒絕重復(fù)調(diào)用機(jī)制確保URL被別人截獲了也無(wú)法使用（如抓取數(shù)據(jù)）。
對(duì)于哪些接口需要防止重復(fù)提交可以自定義個(gè)注解來(lái)標(biāo)記。
注意：所有的安全措施都用上的話有時(shí)候難免太過(guò)復(fù)雜，在實(shí)際項(xiàng)目中需要根據(jù)自身情況作出裁剪，比如可以只使用簽名機(jī)制就可以保證信息不會(huì)被篡改，或者定向提供服務(wù)的時(shí)候只用Token機(jī)制就可以了。如何裁剪，全看項(xiàng)目實(shí)際情況和對(duì)接口安全性的要求。
接口調(diào)用方(客戶(hù)端)向接口提供方(服務(wù)器)申請(qǐng)接口調(diào)用賬號(hào)，申請(qǐng)成功后，接口提供方會(huì)給接口調(diào)用方一個(gè)appId和一個(gè)key參數(shù) 客戶(hù)端攜帶參數(shù)appId、timestamp、sign去調(diào)用服務(wù)器端的API token，其中sign=加密(appId + timestamp + key) 客戶(hù)端拿著api_token 去訪問(wèn)不需要登錄就能訪問(wèn)的接口 當(dāng)訪問(wèn)用戶(hù)需要登錄的接口時(shí)，客戶(hù)端跳轉(zhuǎn)到登錄頁(yè)面，通過(guò)用戶(hù)名和密碼調(diào)用登錄接口，登錄接口會(huì)返回一個(gè)usertoken, 客戶(hù)端拿著usertoken 去訪問(wèn)需要登錄才能訪問(wèn)的接口
sign的作用是防止參數(shù)被篡改，客戶(hù)端調(diào)用服務(wù)端時(shí)需要傳遞sign參數(shù)，服務(wù)器響應(yīng)客戶(hù)端時(shí)也可以返回一個(gè)sign用于客戶(hù)度校驗(yàn)返回的值是否被非法篡改了。客戶(hù)端傳的sign和服務(wù)器端響應(yīng)的sign算法可能會(huì)不同。
1. dependency
<dependency>
????<groupId>org.springframework.bootgroupId>
????<artifactId>spring-boot-starter-data-redisartifactId>
dependency>
<dependency>
????<groupId>redis.clientsgroupId>
????<artifactId>jedisartifactId>
????<version>2.9.0version>
dependency>
<dependency>
????<groupId>org.springframework.bootgroupId>
????<artifactId>spring-boot-starter-webartifactId>
dependency>
2. RedisConfiguration
@Configuration
public?class?RedisConfiguration?{
????@Bean
????public?JedisConnectionFactory?jedisConnectionFactory(){
????????return?new?JedisConnectionFactory();
????}
????/**
?????*?支持存儲(chǔ)對(duì)象
?????*?@return
?????*/
????@Bean
????public?RedisTemplate?redisTemplate() {
????????RedisTemplate?redisTemplate?=?new?StringRedisTemplate();
????????redisTemplate.setConnectionFactory(jedisConnectionFactory());
????????Jackson2JsonRedisSerializer?jackson2JsonRedisSerializer?=?new?Jackson2JsonRedisSerializer(Object.class);
????????ObjectMapper?objectMapper?=?new?ObjectMapper();
????????objectMapper.setVisibility(PropertyAccessor.ALL,?JsonAutoDetect.Visibility.ANY);
????????objectMapper.enableDefaultTyping(ObjectMapper.DefaultTyping.NON_FINAL);
????????jackson2JsonRedisSerializer.setObjectMapper(objectMapper);
????????redisTemplate.setValueSerializer(jackson2JsonRedisSerializer);
????????redisTemplate.afterPropertiesSet();
????????return?redisTemplate;
????}
}
3. TokenController
@Slf4j
@RestController
@RequestMapping("/api/token")
public?class?TokenController?{
????@Autowired
????private?RedisTemplate?redisTemplate;
????/**
?????*?API?Token
?????*
?????*?@param?sign
?????*?@return
?????*/
????@PostMapping("/api_token")
????public?ApiResponse?apiToken(String?appId,?@RequestHeader("timestamp")?String?timestamp,?@RequestHeader("sign")?String?sign)? {
????????Assert.isTrue(!StringUtils.isEmpty(appId)?&&?!StringUtils.isEmpty(timestamp)?&&?!StringUtils.isEmpty(sign),?"參數(shù)錯(cuò)誤");
????????long?reqeustInterval?=?System.currentTimeMillis()?-?Long.valueOf(timestamp);
????????Assert.isTrue(reqeustInterval?5?*?60?*?1000,?"請(qǐng)求過(guò)期，請(qǐng)重新請(qǐng)求");
????????//?1.?根據(jù)appId查詢(xún)數(shù)據(jù)庫(kù)獲取appSecret
????????AppInfo?appInfo?=?new?AppInfo("1",?"12345678954556");
????????//?2.?校驗(yàn)簽名
????????String?signString?=?timestamp?+?appId?+?appInfo.getKey();
????????String?signature?=?MD5Util.encode(signString);
????????log.info(signature);
????????Assert.isTrue(signature.equals(sign),?"簽名錯(cuò)誤");
????????//?3.?如果正確生成一個(gè)token保存到redis中，如果錯(cuò)誤返回錯(cuò)誤信息
????????AccessToken?accessToken?=?this.saveToken(0,?appInfo,?null);
????????return?ApiResponse.success(accessToken);
????}
????@NotRepeatSubmit(5000)
????@PostMapping("user_token")
????public?ApiResponse?userToken(String?username,?String?password)? {
????????//?根據(jù)用戶(hù)名查詢(xún)密碼,?并比較密碼(密碼可以RSA加密一下)
????????UserInfo?userInfo?=?new?UserInfo(username,?"81255cb0dca1a5f304328a70ac85dcbd",?"111111");
????????String?pwd?=?password?+?userInfo.getSalt();
????????String?passwordMD5?=?MD5Util.encode(pwd);
????????Assert.isTrue(passwordMD5.equals(userInfo.getPassword()),?"密碼錯(cuò)誤");
????????//?2.?保存Token
????????AppInfo?appInfo?=?new?AppInfo("1",?"12345678954556");
????????AccessToken?accessToken?=?this.saveToken(1,?appInfo,?userInfo);
????????userInfo.setAccessToken(accessToken);
????????return?ApiResponse.success(userInfo);
????}
????private?AccessToken?saveToken(int?tokenType,?AppInfo?appInfo,??UserInfo?userInfo)?{
????????String?token?=?UUID.randomUUID().toString();
????????//?token有效期為2小時(shí)
????????Calendar?calendar?=?Calendar.getInstance();
????????calendar.setTime(new?Date());
????????calendar.add(Calendar.SECOND,?7200);
????????Date?expireTime?=?calendar.getTime();
????????//?4.?保存token
????????ValueOperations?operations?=?redisTemplate.opsForValue();
????????TokenInfo?tokenInfo?=?new?TokenInfo();
????????tokenInfo.setTokenType(tokenType);
????????tokenInfo.setAppInfo(appInfo);
????????if?(tokenType?==?1)?{
????????????tokenInfo.setUserInfo(userInfo);
????????}
????????operations.set(token,?tokenInfo,?7200,?TimeUnit.SECONDS);
????????AccessToken?accessToken?=?new?AccessToken(token,?expireTime);
????????return?accessToken;
????}
????public?static?void?main(String[]?args)?{
????????long?timestamp?=?System.currentTimeMillis();
????????System.out.println(timestamp);
????????String?signString?=?timestamp?+?"1"?+?"12345678954556";
????????String?sign?=?MD5Util.encode(signString);
????????System.out.println(sign);
????????System.out.println("-------------------");
????????signString?=?"password=123456&username=1&12345678954556"?+?"ff03e64b-427b-45a7-b78b-47d9e8597d3b1529815393153sdfsdfsfs"?+?timestamp?+?"A1scr6";
????????sign?=?MD5Util.encode(signString);
????????System.out.println(sign);
????}
}
4. WebMvcConfiguration
@Configuration
public?class?WebMvcConfiguration?extends?WebMvcConfigurationSupport?{
????private?static?final?String[]?excludePathPatterns??=?{"/api/token/api_token"};
????@Autowired
????private?TokenInterceptor?tokenInterceptor;
????@Override
????public?void?addInterceptors(InterceptorRegistry?registry)?{
????????super.addInterceptors(registry);
????????registry.addInterceptor(tokenInterceptor)
????????????????.addPathPatterns("/api/**")
????????????????.excludePathPatterns(excludePathPatterns);
????}
}
5.?TokenInterceptor
@Component
public?class?TokenInterceptor?extends?HandlerInterceptorAdapter?{
????@Autowired
????private?RedisTemplate?redisTemplate;
????/**
?????*
?????*?@param?request
?????*?@param?response
?????*?@param?handler?訪問(wèn)的目標(biāo)方法
?????*?@return
?????*?@throws?Exception
?????*/
????@Override
????public?boolean?preHandle(HttpServletRequest?request,?HttpServletResponse?response,?Object?handler)?throws?Exception?{
????????String?token?=?request.getHeader("token");
????????String?timestamp?=?request.getHeader("timestamp");
????????//?隨機(jī)字符串
????????String?nonce?=?request.getHeader("nonce");
????????String?sign?=?request.getHeader("sign");
????????Assert.isTrue(!StringUtils.isEmpty(token)?&&?!StringUtils.isEmpty(timestamp)?&&?!StringUtils.isEmpty(sign),?"參數(shù)錯(cuò)誤");
????????//?獲取超時(shí)時(shí)間
????????NotRepeatSubmit?notRepeatSubmit?=?ApiUtil.getNotRepeatSubmit(handler);
????????long?expireTime?=?notRepeatSubmit?==?null???5?*?60?*?1000?:?notRepeatSubmit.value();
????????//?2.?請(qǐng)求時(shí)間間隔
????????long?reqeustInterval?=?System.currentTimeMillis()?-?Long.valueOf(timestamp);
????????Assert.isTrue(reqeustInterval?"請(qǐng)求超時(shí)，請(qǐng)重新請(qǐng)求");
????????//?3.?校驗(yàn)Token是否存在
????????ValueOperations?tokenRedis?=?redisTemplate.opsForValue();
????????TokenInfo?tokenInfo?=?tokenRedis.get(token);
????????Assert.notNull(tokenInfo,?"token錯(cuò)誤");
????????//?4.?校驗(yàn)簽名(將所有的參數(shù)加進(jìn)來(lái)，防止別人篡改參數(shù))?所有參數(shù)看參數(shù)名升續(xù)排序拼接成url
????????//?請(qǐng)求參數(shù)?+?token?+?timestamp?+?nonce
????????String?signString?=?ApiUtil.concatSignString(request)?+?tokenInfo.getAppInfo().getKey()?+?token?+?timestamp?+?nonce;
????????String?signature?=?MD5Util.encode(signString);
????????boolean?flag?=?signature.equals(sign);
????????Assert.isTrue(flag,?"簽名錯(cuò)誤");
????????//?5.?拒絕重復(fù)調(diào)用(第一次訪問(wèn)時(shí)存儲(chǔ)，過(guò)期時(shí)間和請(qǐng)求超時(shí)時(shí)間保持一致),?只有標(biāo)注不允許重復(fù)提交注解的才會(huì)校驗(yàn)
????????if?(notRepeatSubmit?!=?null)?{
????????????ValueOperations?signRedis?=?redisTemplate.opsForValue();
????????????boolean?exists?=?redisTemplate.hasKey(sign);
????????????Assert.isTrue(!exists,?"請(qǐng)勿重復(fù)提交");
????????????signRedis.set(sign,?0,?expireTime,?TimeUnit.MILLISECONDS);
????????}
????????return?super.preHandle(request,?response,?handler);
????}
}
6. MD5Util ----MD5工具類(lèi)，加密生成數(shù)字簽名
public?class?MD5Util?{
????private?static?final?String?hexDigits[]?=?{?"0",?"1",?"2",?"3",?"4",?"5",
????????????"6",?"7",?"8",?"9",?"a",?"b",?"c",?"d",?"e",?"f"?};
????private?static?String?byteArrayToHexString(byte?b[])?{
????????StringBuffer?resultSb?=?new?StringBuffer();
????????for?(int?i?=?0;?i?????????????resultSb.append(byteToHexString(b[i]));
????????return?resultSb.toString();
????}
????private?static?String?byteToHexString(byte?b)?{
????????int?n?=?b;
????????if?(n?0)
????????????n?+=?256;
????????int?d1?=?n?/?16;
????????int?d2?=?n?%?16;
????????return?hexDigits[d1]?+?hexDigits[d2];
????}
????public?static?String?encode(String?origin)?{
????????return?encode(origin,?"UTF-8");
????}
????public?static?String?encode(String?origin,?String?charsetname)?{
????????String?resultString?=?null;
????????try?{
????????????resultString?=?new?String(origin);
????????????MessageDigest?md?=?MessageDigest.getInstance("MD5");
????????????if?(charsetname?==?null?||?"".equals(charsetname))
????????????????resultString?=?byteArrayToHexString(md.digest(resultString
????????????????????????.getBytes()));
????????????else
????????????????resultString?=?byteArrayToHexString(md.digest(resultString
????????????????????????.getBytes(charsetname)));
????????}?catch?(Exception?exception)?{
????????}
????????return?resultString;
????}
}
7. @NotRepeatSubmit ?-----自定義注解，防止重復(fù)提交。
/**
?*?禁止重復(fù)提交
?*/
@Target(ElementType.METHOD)
@Retention(RetentionPolicy.RUNTIME)
public?@interface?NotRepeatSubmit?{
????/**?過(guò)期時(shí)間，單位毫秒?**/
????long?value()?default?5000;
}
8. AccessToken
@Data
@AllArgsConstructor
public?class?AccessToken?{
????/**?token?*/
????private?String?token;
????/**?失效時(shí)間?*/
????private?Date?expireTime;
}
9. AppInfo
@Data
@NoArgsConstructor
@AllArgsConstructor
public?class?AppInfo?{
????/**?App?id?*/
????private?String?appId;
????/**?API?秘鑰?*/
????private?String?key;
}
10. TokenInfo
@Data
public?class?TokenInfo?{
????/**?token類(lèi)型:?api:0?、user:1?*/
????private?Integer?tokenType;
????/**?App?信息?*/
????private?AppInfo?appInfo;
????/**?用戶(hù)其他數(shù)據(jù)?*/
????private?UserInfo?userInfo;
}
11. UserInfo
@Data
public?class?UserInfo?{
????/**?用戶(hù)名?*/
????private?String?username;
????/**?手機(jī)號(hào)?*/
????private?String?mobile;
????/**?郵箱?*/
????private?String?email;
????/**?密碼?*/
????private?String?password;
????/**?鹽?*/
????private?String?salt;
????private?AccessToken?accessToken;
????public?UserInfo(String?username,?String?password,?String?salt)?{
????????this.username?=?username;
????????this.password?=?password;
????????this.salt?=?salt;
????}
}
12. ApiCodeEnum
/**
?*?錯(cuò)誤碼code可以使用純數(shù)字,使用不同區(qū)間標(biāo)識(shí)一類(lèi)錯(cuò)誤，也可以使用純字符，也可以使用前綴+編號(hào)
?*
?*?錯(cuò)誤碼：ERR +?編號(hào)
?*
?*?可以使用日志級(jí)別的前綴作為錯(cuò)誤類(lèi)型區(qū)分?Info(I)?Error(E)?Warning(W)
?*
?*?或者以業(yè)務(wù)模塊?+?錯(cuò)誤號(hào)
?*
?*?TODO?錯(cuò)誤碼設(shè)計(jì)
?*
?*?Alipay?用了兩個(gè)code，兩個(gè)msg(https://docs.open.alipay.com/api_1/alipay.trade.pay)
?*/
public?enum?ApiCodeEnum?{
????SUCCESS("10000",?"success"),
????UNKNOW_ERROR("ERR0001","未知錯(cuò)誤"),
????PARAMETER_ERROR("ERR0002","參數(shù)錯(cuò)誤"),
????TOKEN_EXPIRE("ERR0003","認(rèn)證過(guò)期"),
????REQUEST_TIMEOUT("ERR0004","請(qǐng)求超時(shí)"),
????SIGN_ERROR("ERR0005","簽名錯(cuò)誤"),
????REPEAT_SUBMIT("ERR0006","請(qǐng)不要頻繁操作"),
????;
????/**?代碼?*/
????private?String?code;
????/**?結(jié)果?*/
????private?String?msg;
????ApiCodeEnum(String?code,?String?msg)?{
????????this.code?=?code;
????????this.msg?=?msg;
????}
????public?String?getCode()?{
????????return?code;
????}
????public?String?getMsg()?{
????????return?msg;
????}
}
13. ApiResult
@Data
@NoArgsConstructor
@AllArgsConstructor
public?class?ApiResult?{
????/**?代碼?*/
????private?String?code;
????/**?結(jié)果?*/
????private?String?msg;
}
14. ApiUtil -------這個(gè)參考支付寶加密的算法寫(xiě)的.我直接Copy過(guò)來(lái)了。
public?class?ApiUtil?{
????/**
?????*?按參數(shù)名升續(xù)拼接參數(shù)
?????*?@param?request
?????*?@return
?????*/
????public?static?String?concatSignString(HttpServletRequest?request)?{
????????Map?paramterMap?=?new?HashMap<>();
????????request.getParameterMap().forEach((key,?value)?->?paramterMap.put(key,?value[0]));
????????//?按照key升續(xù)排序，然后拼接參數(shù)
????????Set?keySet?=?paramterMap.keySet();
????????String[]?keyArray?=?keySet.toArray(new?String[keySet.size()]);
????????Arrays.sort(keyArray);
????????StringBuilder?sb?=?new?StringBuilder();
????????for?(String?k?:?keyArray)?{
????????????//?或略掉的字段
????????????if?(k.equals("sign"))?{
????????????????continue;
????????????}
????????????if?(paramterMap.get(k).trim().length()?>?0)?{
????????????????//?參數(shù)值為空，則不參與簽名
????????????????sb.append(k).append("=").append(paramterMap.get(k).trim()).append("&");
????????????}
????????}
????????return?sb.toString();
????}
????public?static?String?concatSignString(Map?map) ?{
????????Map?paramterMap?=?new?HashMap<>();
????????map.forEach((key,?value)?->?paramterMap.put(key,?value));
????????//?按照key升續(xù)排序，然后拼接參數(shù)
????????Set?keySet?=?paramterMap.keySet();
????????String[]?keyArray?=?keySet.toArray(new?String[keySet.size()]);
????????Arrays.sort(keyArray);
????????StringBuilder?sb?=?new?StringBuilder();
????????for?(String?k?:?keyArray)?{
????????????if?(paramterMap.get(k).trim().length()?>?0)?{
????????????????//?參數(shù)值為空，則不參與簽名
????????????????sb.append(k).append("=").append(paramterMap.get(k).trim()).append("&");
????????????}
????????}
????????return?sb.toString();
????}
????/**
?????*?獲取方法上的@NotRepeatSubmit注解
?????*?@param?handler
?????*?@return
?????*/
????public?static?NotRepeatSubmit?getNotRepeatSubmit(Object?handler)?{
????????if?(handler?instanceof?HandlerMethod)?{
????????????HandlerMethod?handlerMethod?=?(HandlerMethod)?handler;
????????????Method?method?=?handlerMethod.getMethod();
????????????NotRepeatSubmit?annotation?=?method.getAnnotation(NotRepeatSubmit.class);
????????????return?annotation;
????????}
????????return?null;
????}
}
15. ApiResponse
@Data
@Slf4j
public?class?ApiResponse<T>?{
????/**?結(jié)果?*/
????private?ApiResult?result;
????/**?數(shù)據(jù)?*/
????private?T?data;
????/**?簽名?*/
????private?String?sign;
????public?static??ApiResponse?success(T?data)?{
????????return?response(ApiCodeEnum.SUCCESS.getCode(),?ApiCodeEnum.SUCCESS.getMsg(),?data);
????}
????public?static?ApiResponse?error(String?code,?String?msg)?{
????????return?response(code,?msg,?null);
????}
????public?static??ApiResponse?response(String?code,?String?msg,?T?data)?{
????????ApiResult?result?=?new?ApiResult(code,?msg);
????????ApiResponse?response?=?new?ApiResponse();
????????response.setResult(result);
????????response.setData(data);
????????String?sign?=?signData(data);
????????response.setSign(sign);
????????return?response;
????}
????private?static??String?signData(T?data)?{
????????//?TODO?查詢(xún)key
????????String?key?=?"12345678954556";
????????Map?responseMap?=?null;
????????try?{
????????????responseMap?=?getFields(data);
????????}?catch?(IllegalAccessException?e)?{
????????????return?null;
????????}
????????String?urlComponent?=?ApiUtil.concatSignString(responseMap);
????????String?signature?=?urlComponent?+?"key="?+?key;
????????String?sign?=?MD5Util.encode(signature);
????????return?sign;
????}
????/**
?????*?@param?data?反射的對(duì)象,獲取對(duì)象的字段名和值
?????*?@throws?IllegalArgumentException
?????*?@throws?IllegalAccessException
?????*/
????public?static?Map?getFields(Object?data)?throws?IllegalAccessException,?IllegalArgumentException? {
????????if?(data?==?null)?return?null;
????????Map?map?=?new?HashMap<>();
????????Field[]?fields?=?data.getClass().getDeclaredFields();
????????for?(int?i?=?0;?i?????????????Field?field?=?fields[i];
????????????field.setAccessible(true);
????????????String?name?=?field.getName();
????????????Object?value?=?field.get(data);
????????????if?(field.get(data)?!=?null)?{
????????????????map.put(name,?value.toString());
????????????}
????????}
????????return?map;
????}
}
ThreadLocal是線程內(nèi)的全局上下文。就是在單個(gè)線程中，方法之間共享的內(nèi)存，每個(gè)方法都可以從該上下文中獲取值和修改值。
實(shí)際案例：
在調(diào)用api時(shí)都會(huì)傳一個(gè)token參數(shù)，通常會(huì)寫(xiě)一個(gè)攔截器來(lái)校驗(yàn)token是否合法，我們可以通過(guò)token找到對(duì)應(yīng)的用戶(hù)信息(User)，如果token合法，然后將用戶(hù)信息存儲(chǔ)到ThreadLocal中，這樣無(wú)論是在controller、service、dao的哪一層都能訪問(wèn)到該用戶(hù)的信息。作用類(lèi)似于Web中的request作用域。
傳統(tǒng)方式我們要在方法中訪問(wèn)某個(gè)變量，可以通過(guò)傳參的形式往方法中傳參，如果多個(gè)方法都要使用那么每個(gè)方法都要傳參；如果使用ThreadLocal所有方法就不需要傳該參數(shù)了，每個(gè)方法都可以通過(guò)ThreadLocal來(lái)訪問(wèn)該值。
ThreadLocalUtil.set("key", value); 保存值 T value = ThreadLocalUtil.get("key"); 獲取值
ThreadLocalUtil
public?class?ThreadLocalUtil<T>?{
????private?static?final?ThreadLocal>?threadLocal?=?new?ThreadLocal()?{
????????@Override
????????protected?Map?initialValue()? {
????????????return?new?HashMap<>(4);
????????}
????};
????public?static?Map?getThreadLocal() {
????????return?threadLocal.get();
????}
????public?static??T?get(String?key)?{
????????Map?map?=?(Map)threadLocal.get();
????????return?(T)map.get(key);
????}
????public?static??T?get(String?key,T?defaultValue)?{
????????Map?map?=?(Map)threadLocal.get();
????????return?(T)map.get(key)?==?null???defaultValue?:?(T)map.get(key);
????}
????public?static?void?set(String?key,?Object?value)?{
????????Map?map?=?(Map)threadLocal.get();
????????map.put(key,?value);
????}
????public?static?void?set(Map?keyValueMap) ?{
????????Map?map?=?(Map)threadLocal.get();
????????map.putAll(keyValueMap);
????}
????public?static?void?remove()?{
????????threadLocal.remove();
????}
????public?static??Map?fetchVarsByPrefix(String?prefix)? {
????????Map?vars?=?new?HashMap<>();
????????if(?prefix?==?null?){
????????????return?vars;
????????}
????????Map?map?=?(Map)threadLocal.get();
????????Set?set?=?map.entrySet();
????????for(?Map.Entry?entry?:?set){
????????????Object?key?=?entry.getKey();
????????????if(?key?instanceof?String?){
????????????????if(?((String)?key).startsWith(prefix)?){
????????????????????vars.put((String)key,(T)entry.getValue());
????????????????}
????????????}
????????}
????????return?vars;
????}
????public?static??T?remove(String?key)?{
????????Map?map?=?(Map)threadLocal.get();
????????return?(T)map.remove(key);
????}
????public?static?void?clear(String?prefix)?{
????????if(?prefix?==?null?){
????????????return;
????????}
????????Map?map?=?(Map)threadLocal.get();
????????Set?set?=?map.entrySet();
????????List?removeKeys?=?new?ArrayList<>();
????????for(?Map.Entry?entry?:?set?){
????????????Object?key?=?entry.getKey();
????????????if(?key?instanceof?String?){
????????????????if(?((String)?key).startsWith(prefix)?){
????????????????????removeKeys.add((String)key);
????????????????}
????????????}
????????}
????????for(?String?key?:?removeKeys?){
????????????map.remove(key);
????????}
????}
}
總結(jié): 這個(gè)是目前第三方數(shù)據(jù)接口交互過(guò)程中常用的一些參數(shù)與使用示例，希望對(duì)大家有點(diǎn)幫助。
當(dāng)然如果為了保證更加的安全，可以加上RSA,RSA2，AES等等加密方式，保證了數(shù)據(jù)的更加的安全，但是唯一的缺點(diǎn)是加密與解密比較耗費(fèi)CPU的資源.
END
下方二維碼關(guān)注我
互聯(lián)網(wǎng)草根，堅(jiān)持分享技術(shù)、創(chuàng)業(yè)、產(chǎn)品等心得和總結(jié)~
點(diǎn)擊“閱讀原文”，領(lǐng)取 2020 年最新免費(fèi)技術(shù)資料大全
評(píng)論
圖片
表情