2023學(xué)年完整公開課版不安全接口02

不安全接口2API接口安全性設(shè)計(jì)接口的安全性主要圍繞Token、Timestamp和Sign三個(gè)機(jī)制展開設(shè)計(jì)，保證接口的數(shù)據(jù)不會(huì)被篡改和重復(fù)調(diào)用3Token授權(quán)機(jī)制

用戶使用用戶名密碼登錄后服務(wù)器給客戶端返回一個(gè)Token（通常是UUID），并將Token-UserId以鍵值對的形式存放在緩存服務(wù)器中。服務(wù)端接收到請求后進(jìn)行Token驗(yàn)證，如果Token不存在，說明請求無效。Token是客戶端訪問服務(wù)端的憑證。4時(shí)間戳超時(shí)機(jī)制

用戶每次請求都帶上當(dāng)前時(shí)間的時(shí)間戳timestamp，服務(wù)端接收到timestamp后跟當(dāng)前時(shí)間進(jìn)行比對，如果時(shí)間差大于一定時(shí)間（比如5分鐘），則認(rèn)為該請求失效。時(shí)間戳超時(shí)機(jī)制是防御DOS攻擊的有效手段。5簽名機(jī)制

將

Token

和

時(shí)間戳

加上其他請求參數(shù)再用MD5或SHA-1算法（可根據(jù)情況加點(diǎn)鹽）加密，加密后的數(shù)據(jù)就是本次請求的簽名sign，服務(wù)端接收到請求后以同樣的算法得到簽名，并跟當(dāng)前的簽名進(jìn)行比對，如果不一樣，說明參數(shù)被更改過，直接返回錯(cuò)誤標(biāo)識。簽名機(jī)制保證了數(shù)據(jù)不會(huì)被篡改。6拒絕重復(fù)調(diào)用

拒絕重復(fù)調(diào)用（非必須）：客戶端第一次訪問時(shí)，將簽名sign存放到緩存服務(wù)器中，超時(shí)時(shí)間設(shè)定為跟時(shí)間戳的超時(shí)時(shí)間一致，二者時(shí)間一致可以保證無論在timestamp限定時(shí)間內(nèi)還是外URL都只能訪問一次。如果有人使用同一個(gè)URL再次訪問，如果發(fā)現(xiàn)緩存服務(wù)器中已經(jīng)存在了本次簽名，則拒絕服務(wù)。如果在緩存中的簽名失效的情況下，有人使用同一個(gè)URL再次訪問，則會(huì)被時(shí)間戳超時(shí)機(jī)制攔截。這就是為什么要求時(shí)間戳的超時(shí)時(shí)間要設(shè)定為跟時(shí)間戳的超時(shí)時(shí)間一致。拒絕重復(fù)調(diào)用機(jī)制確保URL被別人截獲了也無法使用（如抓取數(shù)據(jù)）。7整個(gè)流程1、客戶端通過用戶名密碼登錄服務(wù)器并獲取Token2、客戶端生成時(shí)間戳timestamp，并將timestamp作為其中一個(gè)參數(shù)3、客戶端將所有的參數(shù)，包括Token和timestamp按照自己的算法進(jìn)行排序加密得到簽名sign4、將token、timestamp和sign作為請求時(shí)必須攜帶的參數(shù)加在每個(gè)請求的URL后邊（http://zyjy/request?token=123×tamp=123&sign=123123123）5、服務(wù)端寫一個(gè)過濾器對token、timestamp和sign進(jìn)行驗(yàn)證，只有在token有效、timestamp未超時(shí)、緩存服務(wù)器中不存在sign三種情況同時(shí)滿足，本次請求才有效8預(yù)期的結(jié)果在以上三中機(jī)制的保護(hù)下，如果有人劫持了請求，并對請求中的參數(shù)進(jìn)行了修改，簽名就無法通過；如果有人使用已經(jīng)劫持的URL進(jìn)