如何保證API接口安全？
一、摘要
在實(shí)際的業(yè)務(wù)開發(fā)過程中，我們常常會(huì)碰到需要與第三方互聯(lián)網(wǎng)公司進(jìn)行技術(shù)對(duì)接，例如支付寶支付對(duì)接、微信支付對(duì)接、高德地圖查詢對(duì)接等等服務(wù)，如果你是一個(gè)創(chuàng)業(yè)型互聯(lián)網(wǎng)，大部分可能都是對(duì)接別的公司api接口。
當(dāng)你的公司體量上來了時(shí)候，這個(gè)時(shí)候可能有一些公司開始找你進(jìn)行技術(shù)對(duì)接了，轉(zhuǎn)變成由你來提供api接口，那這個(gè)時(shí)候，我們應(yīng)該如何設(shè)計(jì)并保證API接口安全呢？
二、方案介紹
最常用的方案，主要有兩種：
token方案 接口簽名
2.1、token方案
其中 token 方案，是一種在web端使用最廣的接口鑒權(quán)方案，我記得在之前寫過一篇《手把手教你，使用JWT實(shí)現(xiàn)單點(diǎn)登錄》的文章，里面介紹的比較詳細(xì)，有興趣的朋友可以看一下，沒了解的也沒關(guān)系，我們?cè)诖撕?jiǎn)單的介紹一下 token 方案。
從上圖，我們可以很清晰的看到，token 方案的實(shí)現(xiàn)主要有以下幾個(gè)步驟：
1、用戶登錄成功之后，服務(wù)端會(huì)給用戶生成一個(gè)唯一有效的憑證，這個(gè)有效值被稱為token 2、當(dāng)用戶每次請(qǐng)求其他的業(yè)務(wù)接口時(shí)，需要在請(qǐng)求頭部帶上token 3、服務(wù)端接受到客戶端業(yè)務(wù)接口請(qǐng)求時(shí)，會(huì)驗(yàn)證token的合法性，如果不合法會(huì)提示給客戶端；如果合法，才會(huì)進(jìn)入業(yè)務(wù)處理流程。
在實(shí)際使用過程中，當(dāng)用戶登錄成功之后，生成的token存放在redis中時(shí)是有時(shí)效的，一般設(shè)置為2個(gè)小時(shí)，過了2個(gè)小時(shí)之后會(huì)自動(dòng)失效，這個(gè)時(shí)候我們就需要重新登錄，然后再次獲取有效token。
token方案，是目前業(yè)務(wù)類型的項(xiàng)目當(dāng)中使用最廣的方案，而且實(shí)用性非常高，可以很有效的防止黑客們進(jìn)行抓包、爬取數(shù)據(jù)。
但是 token 方案也有一些缺點(diǎn)！最明顯的就是與第三方公司進(jìn)行接口對(duì)接的時(shí)候，當(dāng)你的接口請(qǐng)求量非常大，這個(gè)時(shí)候 token 突然失效了，會(huì)有大量的接口請(qǐng)求失敗。
這個(gè)我深有體會(huì)，我記得在很早的時(shí)候，跟一家中、大型互聯(lián)網(wǎng)公司進(jìn)行聯(lián)調(diào)的時(shí)候，他們提供給我的接口對(duì)接方案就是token方案，當(dāng)時(shí)我司的流量高峰期時(shí)候，請(qǐng)求他們的接口大量報(bào)錯(cuò)，原因就是因?yàn)閠oken失效了，當(dāng)token失效時(shí)，我們會(huì)調(diào)用他們刷新token接口，刷新完成之后，在token失效與重新刷新token這個(gè)時(shí)間間隔期間，就會(huì)出現(xiàn)大量的請(qǐng)求失敗的日志，因此在實(shí)際API對(duì)接過程中，我不推薦大家采用 token方案。
2.2、接口簽名
接口簽名，顧名思義，就是通過一些簽名規(guī)則對(duì)參數(shù)進(jìn)行簽名，然后把簽名的信息放入請(qǐng)求頭部，服務(wù)端收到客戶端請(qǐng)求之后，同樣的只需要按照已定的規(guī)則生產(chǎn)對(duì)應(yīng)的簽名串與客戶端的簽名信息進(jìn)行對(duì)比，如果一致，就進(jìn)入業(yè)務(wù)處理流程；如果不通過，就提示簽名驗(yàn)證失敗。
在接口簽名方案中，主要有四個(gè)核心參數(shù)：
1、appid表示應(yīng)用ID，其中與之匹配的還有appsecret，表示應(yīng)用密鑰，用于數(shù)據(jù)的簽名加密，不同的對(duì)接項(xiàng)目分配不同的appid和appsecret，保證數(shù)據(jù)安全 2、timestamp 表示時(shí)間戳，當(dāng)請(qǐng)求的時(shí)間戳與服務(wù)器中的時(shí)間戳，差值在5分鐘之內(nèi)，屬于有效請(qǐng)求，不在此范圍內(nèi)，屬于無效請(qǐng)求 3、nonce 表示臨時(shí)流水號(hào)，用于防止重復(fù)提交驗(yàn)證 4、signature 表示簽名字段，用于判斷接口請(qǐng)求是否有效。
其中簽名的生成規(guī)則，分兩個(gè)步驟：
第一步：對(duì)請(qǐng)求參數(shù)進(jìn)行一次md5加密簽名
//步驟一
String 參數(shù)1 = 請(qǐng)求方式 + 請(qǐng)求URL相對(duì)地址 + 請(qǐng)求Body字符串;
String 參數(shù)1加密結(jié)果= md5(參數(shù)1)
第二步：對(duì)第一步簽名結(jié)果，再進(jìn)行一次md5加密簽名
//步驟二
String 參數(shù)2 = appsecret + timestamp + nonce + 參數(shù)1加密結(jié)果;
String 參數(shù)2加密結(jié)果= md5(參數(shù)2)
參數(shù)2加密結(jié)果，就是我們要的最終簽名串。
接口簽名方案，尤其是在接口請(qǐng)求量很大的情況下，依然很穩(wěn)定。
換句話說，你可以將接口簽名看作成對(duì)token方案的一種補(bǔ)充。
但是如果想把接口簽名方案，推廣到前后端對(duì)接，答案是：不適合。
因?yàn)楹灻?jì)算非常復(fù)雜，其次，就是容易泄漏appsecret！
說了這么多，下面我們就一起來用程序?qū)嵺`一下吧！
二、程序?qū)嵺`
2.1、token方案
就像上文所說，token方案重點(diǎn)在于，當(dāng)用戶登錄成功之后，我們只需要生成好對(duì)應(yīng)的token，然后將其返回給前端，在下次請(qǐng)求業(yè)務(wù)接口的時(shí)候，需要把token帶上。
具體的實(shí)踐，也可以分兩種：
第一種：采用uuid生成token，然后將token存放在redis中，同時(shí)設(shè)置有效期2哥小時(shí) 第二種：采用JWT工具來生成token，這種token是可以跨平臺(tái)的，天然支持分布式，其實(shí)本質(zhì)也是采用時(shí)間戳+密鑰，來生成一個(gè)token。
下面，我們介紹的是第二種實(shí)現(xiàn)方式。
首先，編寫一個(gè)jwt 工具。
public class JwtTokenUtil {
//定義token返回頭部
public static final String AUTH_HEADER_KEY = "Authorization";
//token前綴
public static final String TOKEN_PREFIX = "Bearer ";
//簽名密鑰
public static final String KEY = "q3t6w9z$C&F)J@NcQfTjWnZr4u7x";
//有效期默認(rèn)為 2hour
public static final Long EXPIRATION_TIME = 1000L*60*60*2;
/**
* 創(chuàng)建TOKEN
* @param content
* @return
*/
public static String createToken(String content){
return TOKEN_PREFIX + JWT.create()
.withSubject(content)
.withExpiresAt(new Date(System.currentTimeMillis() + EXPIRATION_TIME))
.sign(Algorithm.HMAC512(KEY));
}
/**
* 驗(yàn)證token
* @param token
*/
public static String verifyToken(String token) throws Exception {
try {
return JWT.require(Algorithm.HMAC512(KEY))
.build()
.verify(token.replace(TOKEN_PREFIX, ""))
.getSubject();
} catch (TokenExpiredException e){
throw new Exception("token已失效，請(qǐng)重新登錄",e);
} catch (JWTVerificationException e) {
throw new Exception("token驗(yàn)證失?。?,e);
}
}
}
接著，我們?cè)诘卿浀臅r(shí)候，生成一個(gè)token，然后返回給客戶端。
@RequestMapping(value = "/login", method = RequestMethod.POST, produces = {"application/json;charset=UTF-8"})
public UserVo login(@RequestBody UserDto userDto, HttpServletResponse response){
//...參數(shù)合法性驗(yàn)證
//從數(shù)據(jù)庫獲取用戶信息
User dbUser = userService.selectByUserNo(userDto.getUserNo);
//....用戶、密碼驗(yàn)證
//創(chuàng)建token，并將token放在響應(yīng)頭
UserToken userToken = new UserToken();
BeanUtils.copyProperties(dbUser,userToken);
String token = JwtTokenUtil.createToken(JSONObject.toJSONString(userToken));
response.setHeader(JwtTokenUtil.AUTH_HEADER_KEY, token);
//定義返回結(jié)果
UserVo result = new UserVo();
BeanUtils.copyProperties(dbUser,result);
return result;
}
最后，編寫一個(gè)統(tǒng)一攔截器，用于驗(yàn)證客戶端傳入的token是否有效。
@Slf4j
public class AuthenticationInterceptor implements HandlerInterceptor {
@Override
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
// 從http請(qǐng)求頭中取出token
final String token = request.getHeader(JwtTokenUtil.AUTH_HEADER_KEY);
//如果不是映射到方法，直接通過
if(!(handler instanceof HandlerMethod)){
return true;
}
//如果是方法探測(cè)，直接通過
if (HttpMethod.OPTIONS.equals(request.getMethod())) {
response.setStatus(HttpServletResponse.SC_OK);
return true;
}
//如果方法有JwtIgnore注解，直接通過
HandlerMethod handlerMethod = (HandlerMethod) handler;
Method method=handlerMethod.getMethod();
if (method.isAnnotationPresent(JwtIgnore.class)) {
JwtIgnore jwtIgnore = method.getAnnotation(JwtIgnore.class);
if(jwtIgnore.value()){
return true;
}
}
LocalAssert.isStringEmpty(token, "token為空，鑒權(quán)失??！");
//驗(yàn)證，并獲取token內(nèi)部信息
String userToken = JwtTokenUtil.verifyToken(token);
//將token放入本地緩存
WebContextUtil.setUserToken(userToken);
return true;
}
@Override
public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {
//方法結(jié)束后，移除緩存的token
WebContextUtil.removeUserToken();
}
}
在生成token的時(shí)候，我們可以將一些基本的用戶信息，例如用戶ID、用戶姓名，存入token中，這樣當(dāng)token鑒權(quán)通過之后，我們只需要通過解析里面的信息，即可獲取對(duì)應(yīng)的用戶ID，可以省下去數(shù)據(jù)庫查詢一些基本信息的操作。
同時(shí)，使用的過程中，盡量不要存放敏感信息，因?yàn)楹苋菀妆缓诳徒馕觯?/p>
2.2、接口簽名
同樣的思路，站在服務(wù)端驗(yàn)證的角度，我們可以先編寫一個(gè)簽名攔截器，驗(yàn)證客戶端傳入的參數(shù)是否合法，只要有一項(xiàng)不合法，就提示錯(cuò)誤。
具體代碼實(shí)踐如下：
public class SignInterceptor implements HandlerInterceptor {
@Autowired
private AppSecretService appSecretService;
@Autowired
private RedisUtil redisUtil;
@Override
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler)
throws Exception {
//appId驗(yàn)證
final String appId = request.getHeader("appid");
if(StringUtils.isEmpty(appId)){
throw new CommonException("appid不能為空");
}
String appSecret = appSecretService.getAppSecretByAppId(appId);
if(StringUtils.isEmpty(appSecret)){
throw new CommonException("appid不合法");
}
//時(shí)間戳驗(yàn)證
final String timestamp = request.getHeader("timestamp");
if(StringUtils.isEmpty(timestamp)){
throw new CommonException("timestamp不能為空");
}
//大于5分鐘，非法請(qǐng)求
long diff = System.currentTimeMillis() - Long.parseLong(timestamp);
if(Math.abs(diff) > 1000 * 60 * 5){
throw new CommonException("timestamp已過期");
}
//臨時(shí)流水號(hào)，防止重復(fù)提交
final String nonce = request.getHeader("nonce");
if(StringUtils.isEmpty(nonce)){
throw new CommonException("nonce不能為空");
}
//驗(yàn)證簽名
final String signature = request.getHeader("signature");
if(StringUtils.isEmpty(nonce)){
throw new CommonException("signature不能為空");
}
final String method = request.getMethod();
final String url = request.getRequestURI();
final String body = StreamUtils.copyToString(request.getInputStream(), Charset.forName("UTF-8"));
String signResult = SignUtil.getSignature(method, url, body, timestamp, nonce, appSecret);
if(!signature.equals(signResult)){
throw new CommonException("簽名驗(yàn)證失敗");
}
//檢查是否重復(fù)請(qǐng)求
String key = appId + "_" + timestamp + "_" + nonce;
if(redisUtil.exist(key)){
throw new CommonException("當(dāng)前請(qǐng)求正在處理，請(qǐng)不要重復(fù)提交");
}
//設(shè)置5分鐘
redisUtil.save(key, signResult, 5*60);
request.setAttribute("reidsKey",key);
}
@Override
public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex)
throws Exception {
//請(qǐng)求處理完畢之后，移除緩存
String value = request.getAttribute("reidsKey");
if(!StringUtils.isEmpty(value)){
redisUtil.remove(value);
}
}
}
簽名工具類SignUtil：
public class SignUtil {
/**
* 簽名計(jì)算
* @param method
* @param url
* @param body
* @param timestamp
* @param nonce
* @param appSecret
* @return
*/
public static String getSignature(String method, String url, String body, String timestamp, String nonce, String appSecret){
//第一層簽名
String requestStr1 = method + url + body + appSecret;
String signResult1 = DigestUtils.md5Hex(requestStr1);
//第二層簽名
String requestStr2 = appSecret + timestamp + nonce + signResult1;
String signResult2 = DigestUtils.md5Hex(requestStr2);
return signResult2;
}
}
簽名計(jì)算，可以換成hamc方式進(jìn)行計(jì)算，思路大致一樣。
三、小結(jié)
上面介紹的token和接口簽名方案，對(duì)外都可以對(duì)提供的接口起到保護(hù)作用，防止別人篡改請(qǐng)求，或者模擬請(qǐng)求。
但是缺少對(duì)數(shù)據(jù)自身的安全保護(hù)，即請(qǐng)求的參數(shù)和返回的數(shù)據(jù)都是有可能被別人攔截獲取的，而這些數(shù)據(jù)又是明文的，所以只要被攔截，就能獲得相應(yīng)的業(yè)務(wù)數(shù)據(jù)。
對(duì)于這種情況，推薦大家對(duì)請(qǐng)求參數(shù)和返回參數(shù)進(jìn)行加密處理，例如RSA、AES等加密工具。
同時(shí)，在生產(chǎn)環(huán)境，采用https方式進(jìn)行傳輸，可以起到很好的安全保護(hù)作用！
程序汪資料鏈接
歡迎添加程序汪個(gè)人微信 itwang007 進(jìn)粉絲群或圍觀朋友圈