阿里一面：如何保證API接口數(shù)據(jù)安全？

時間：2021-02-02 01:00:40

關(guān)鍵字：阿里 API 數(shù)據(jù)安全

手機(jī)看文章

掃描二維碼
隨時隨地手機(jī)看文章

[導(dǎo)讀]前后端分離的開發(fā)方式，我們以接口為標(biāo)準(zhǔn)來進(jìn)行推動，定義好接口，各自開發(fā)自己的功能，最后進(jìn)行聯(lián)調(diào)整合。

來源：https://www.toutiao.com/i6869353034188030471

前言

前后端分離的開發(fā)方式，我們以接口為標(biāo)準(zhǔn)來進(jìn)行推動，定義好接口，各自開發(fā)自己的功能，最后進(jìn)行聯(lián)調(diào)整合。無論是開發(fā)原生的APP還是webapp還是PC端的軟件,只要是前后端分離的模式，就避免不了調(diào)用后端提供的接口來進(jìn)行業(yè)務(wù)交互。

網(wǎng)頁或者app，只要抓下包就可以清楚的知道這個請求獲取到的數(shù)據(jù)，也可以偽造請求去獲取或攻擊服務(wù)器；也對爬蟲工程師來說是一種福音，要抓你的數(shù)據(jù)簡直輕而易舉。那我們怎么去解決這些問題呢？

接口簽名

我們先考慮一下接口數(shù)據(jù)被偽造，以及接口被重復(fù)調(diào)用的問題，要解決這個問題我們就要用到接口簽名的方案，

簽名流程

簽名規(guī)則

1、線下分配appid和appsecret，針對不同的調(diào)用方分配不同的appid和appsecret
2、加入timestamp（時間戳），5分鐘內(nèi)數(shù)據(jù)有效
3、加入臨時流水號 nonce（防止重復(fù)提交），至少為10位。針對查詢接口，流水號只用于日志落地，便于后期日志核查。針對辦理類接口需校驗(yàn)流水號在有效期內(nèi)的唯一性，以避免重復(fù)請求。
4、加入簽名字段signature，所有數(shù)據(jù)的簽名信息。

以上字段放在請求頭中。

簽名的生成

簽名signature字段生成規(guī)則

所有動態(tài)參數(shù) = 請求頭部分 + 請求URL地址 + 請求Request參數(shù) + 請求Body

上面的動態(tài)參數(shù)以key-value的格式存儲，并以key值正序排序，進(jìn)行拼接

最后拼接的字符串在拼接appSecret

signature = DigestUtils.md5DigestAsHex(sortParamsMap + appSecret)

即拼接成一個字符串，然后做md5不可逆加密

請求頭部分

請求頭=“appId=xxxx&nonce=xxxx×tamp=xxxx&sign=xxx”

請求頭中的4個參數(shù)是必須要傳的，否則直接報異常

請求URL地址

https://mso.xxxx.com.cn/api/user

請求Request參數(shù)

即請求為Get方式的時候，獲取的傳入的參數(shù)

請求Body

即請求為Post時，請求體Body

從request inputstream中獲取保存為String形式

簽名算法實(shí)現(xiàn)

基本原理其實(shí)也比較簡單，就是自定義filter，對每個請求進(jìn)行處理；整體流程如下

1）驗(yàn)證必須的頭部參數(shù)
2）獲取頭部參數(shù)，request參數(shù)，Url請求路徑，請求體Body，把這些值放入SortMap中進(jìn)行排序
3）對SortMap里面的值進(jìn)行拼接
4）對拼接的值進(jìn)行加密，生成sign
5）把生成的sign和前端傳入的sign進(jìn)行比較，如果不相同就返回錯誤

我們來看一下代碼

@Component public class SignAuthFilter extends OncePerRequestFilter{ static final String FAVICON = "/favicon.ico"; static final String PREFIX = "attack:signature:";
}