网站模板 带数据库,网站 关于我们 模板,企业做网站天津,邢台哪儿做wap网站为什么要保证接口安全对于互联网来说#xff0c;只要你系统的接口暴露在外网#xff0c;就避免不了接口安全问题。 如果你的接口在外网裸奔#xff0c;只要让黑客知道接口的地址和参数就可以调用#xff0c;那简直就是灾难。举个例子#xff1a;你的网站用户注册的时候只要你系统的接口暴露在外网就避免不了接口安全问题。 如果你的接口在外网裸奔只要让黑客知道接口的地址和参数就可以调用那简直就是灾难。举个例子你的网站用户注册的时候需要填写手机号发送手机验证码如果这个发送验证码的接口没有经过特殊安全处理那这个短信接口早就被人盗刷不知道浪费多少钱了。那如何保证接口安全呢一般来说暴露在外网的api接口需要做到防篡改和防重放才能称之为安全的接口。防篡改我们知道http 是一种无状态的协议服务端并不知道客户端发送的请求是否合法也并不知道请求中的参数是否正确。举个例子, 现在有个充值的接口调用后可以给用户增加对应的余额。http://localhost/api/user/recharge?user_id1001amount10如果非法用户通过抓包获取到接口参数后修改user_id 或 amount的值就可以实现给任意账户添加余额的目的。如何解决采用https协议可以将传输的明文进行加密但是黑客仍然可以截获传输的数据包进一步伪造请求进行重放攻击。如果黑客使用特殊手段让请求方设备使用了伪造的证书进行通信那么https加密的内容也会被解密。一般的做法有2种采用https方式把接口的数据进行加密传输即便是被黑客破解黑客也花费大量的时间和精力去破解。接口后台对接口的请求参数进行验证防止被黑客篡改步骤1客户端使用约定好的秘钥对传输的参数进行加密得到签名值sign1并且将签名值也放入请求的参数中发送请求给服务端步骤2服务端接收到客户端的请求然后使用约定好的秘钥对请求的参数再次进行签名得到签名值sign2。步骤3服务端比对sign1和sign2的值如果不一致就认定为被篡改非法请求。防重放防重放也叫防复用。简单来说就是我获取到这个请求的信息之后什么也不改,直接拿着接口的参数去 重复请求这个充值的接口。此时我的请求是合法的, 因为所有参数都是跟合法请求一模一样的。重放攻击会造成两种后果针对插入数据库接口重放攻击会出现大量重复数据甚至垃圾数据会把数据库撑爆。针对查询的接口黑客一般是重点攻击慢查询接口例如一个慢查询接口1s只要黑客发起重放攻击就必然造成系统被拖垮数据库查询被阻塞死。对于重放攻击一般有两种做法基于timestamp的方案每次HTTP请求都需要加上timestamp参数然后把timestamp和其他参数一起进行数字签名。因为一次正常的HTTP请求从发出到达服务器一般都不会超过60s所以服务器收到HTTP请求之后首先判断时间戳参数与当前时间比较是否超过了60s如果超过了则认为是非法请求。一般情况下黑客从抓包重放请求耗时远远超过了60s所以此时请求中的timestamp参数已经失效了。 如果黑客修改timestamp参数为当前的时间戳则sign1参数对应的数字签名就会失效因为黑客不知道签名秘钥没有办法生成新的数字签名。但是这种方式的漏洞也是显而易见如果在60s之内进行重放攻击那就没办法了所以这种方式不能保证请求仅一次有效。老鸟们一般会采取下面这种方案既可以解决接口重放问题又可以解决一次请求有效的问题。基于nonce timestamp 的方案nonce的意思是仅一次有效的随机字符串要求每次请求时该参数要保证不同。实际使用用户信息时间戳随机数等信息做个哈希之后作为nonce参数。此时服务端的处理流程如下去 redis 中查找是否有 key 为 nonce:{nonce} 的 string如果没有则创建这个 key把这个 key 失效的时间和验证 timestamp 失效的时间一致比如是 60s。如果有说明这个 key 在 60s 内已经被使用了那么这个请求就可以判断为重放请求。这种方案nonce和timestamp参数都作为签名的一部分传到后端基于timestamp方案可以让黑客只能在60s内进行重放攻击加上nonce随机数以后可以保证接口只能被调用一次可以很好的解决重放攻击问题。代码实现接下来以SpringBoot项目为例看看如何实现接口的防篡改和防重放功能。1、构建请求头对象Data
Builder
public class RequestHeader {private String sign ;private Long timestamp ;private String nonce;
}2、工具类从HttpServletRequest获取请求参数Slf4j
UtilityClass
public class HttpDataUtil {/*** post请求处理获取 Body 参数转换为SortedMap** param request*/public SortedMapString, String getBodyParams(final HttpServletRequest request) throws IOException {byte[] requestBody StreamUtils.copyToByteArray(request.getInputStream());String body new String(requestBody);return JsonUtil.json2Object(body, SortedMap.class);}
/*** get请求处理将URL请求参数转换成SortedMap*/public static SortedMapString, String getUrlParams(HttpServletRequest request) {String param ;SortedMapString, String result new TreeMap();
if (StringUtils.isEmpty(request.getQueryString())) {return result;}
try {param URLDecoder.decode(request.getQueryString(), utf-8);} catch (UnsupportedEncodingException e) {e.printStackTrace();}
String[] params param.split();for (String s : params) {String[] arrays.split();result.put(array[0], array[1]);}return result;}
}这里的参数放入SortedMap中对其进行字典排序前端构建签名时同样需要对参数进行字典排序。3、签名验证工具类Slf4j
UtilityClass
public class SignUtil {/*** 验证签名* 验证算法把timestamp JsonUtil.object2Json(SortedMap)合成字符串然后MD5*/SneakyThrowspublic boolean verifySign(SortedMapString, String map, RequestHeader requestHeader) {String params requestHeader.getNonce() requestHeader.getTimestamp() JsonUtil.object2Json(map);return verifySign(params, requestHeader);}
/*** 验证签名*/public boolean verifySign(String params, RequestHeader requestHeader) {log.debug(客户端签名: {}, requestHeader.getSign());if (StringUtils.isEmpty(params)) {return false;}log.info(客户端上传内容: {}, params);String paramsSign DigestUtils.md5DigestAsHex(params.getBytes()).toUpperCase();log.info(客户端上传内容加密后的签名结果: {}, paramsSign);return requestHeader.getSign().equals(paramsSign);}
}4、HttpServletRequest包装类public class SignRequestWrapper extends HttpServletRequestWrapper {//用于将流保存下来private byte[] requestBody null;
public SignRequestWrapper(HttpServletRequest request) throws IOException {super(request);requestBody StreamUtils.copyToByteArray(request.getInputStream());}
Overridepublic ServletInputStream getInputStream() throws IOException {final ByteArrayInputStream bais new ByteArrayInputStream(requestBody);
return new ServletInputStream() {Overridepublic boolean isFinished() {return false;}
Overridepublic boolean isReady() {return false;}
Overridepublic void setReadListener(ReadListener readListener) {
}
Overridepublic int read() throws IOException {return bais.read();}};
}
Overridepublic BufferedReader getReader() throws IOException {return new BufferedReader(new InputStreamReader(getInputStream()));}
}防篡改和防重放我们会通过SpringBoot Filter来实现而编写的filter过滤器需要读取request数据流但是request数据流只能读取一次需要自己实现HttpServletRequestWrapper对数据流包装目的是将request流保存下来。5、创建过滤器实现安全校验Configuration
public class SignFilterConfiguration {Value(${sign.maxTime})private String signMaxTime;
//filter中的初始化参数private MapString, String initParametersMap new HashMap();
Beanpublic FilterRegistrationBean contextFilterRegistrationBean() {initParametersMap.put(signMaxTime,signMaxTime);FilterRegistrationBean registration new FilterRegistrationBean();registration.setFilter(signFilter());registration.setInitParameters(initParametersMap);registration.addUrlPatterns(/sign/*);registration.setName(SignFilter);// 设置过滤器被调用的顺序registration.setOrder(1);return registration;}
Beanpublic Filter signFilter() {return new SignFilter();}
}Slf4j
public class SignFilter implements Filter {Resourceprivate RedisUtil redisUtil;
//从fitler配置中获取sign过期时间private Long signMaxTime;
private static final String NONCE_KEY x-nonce-;
Overridepublic void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {HttpServletRequest httpRequest (HttpServletRequest) servletRequest;HttpServletResponse httpResponse (HttpServletResponse) servletResponse;
log.info(过滤URL:{}, httpRequest.getRequestURI());
HttpServletRequestWrapper requestWrapper new SignRequestWrapper(httpRequest);//构建请求头RequestHeader requestHeader RequestHeader.builder().nonce(httpRequest.getHeader(x-Nonce)).timestamp(Long.parseLong(httpRequest.getHeader(X-Time))).sign(httpRequest.getHeader(X-Sign)).build();
//验证请求头是否存在if(StringUtils.isEmpty(requestHeader.getSign()) || ObjectUtils.isEmpty(requestHeader.getTimestamp()) || StringUtils.isEmpty(requestHeader.getNonce())){responseFail(httpResponse, ReturnCode.ILLEGAL_HEADER);return;}
/** 1.重放验证* 判断timestamp时间戳与当前时间是否操过60s过期时间根据业务情况设置,如果超过了就提示签名过期。*/long now System.currentTimeMillis() / 1000;
if (now - requestHeader.getTimestamp() signMaxTime) {responseFail(httpResponse,ReturnCode.REPLAY_ERROR);return;}
//2. 判断nonceboolean nonceExists redisUtil.hasKey(NONCE_KEY requestHeader.getNonce());if(nonceExists){//请求重复responseFail(httpResponse,ReturnCode.REPLAY_ERROR);return;}else {redisUtil.set(NONCE_KEYrequestHeader.getNonce(), requestHeader.getNonce(), signMaxTime);}
boolean accept;SortedMapString, String paramMap;switch (httpRequest.getMethod()){case GET:paramMap HttpDataUtil.getUrlParams(requestWrapper);accept SignUtil.verifySign(paramMap, requestHeader);break;case POST:paramMap HttpDataUtil.getBodyParams(requestWrapper);accept SignUtil.verifySign(paramMap, requestHeader);break;default:accept true;break;}if (accept) {filterChain.doFilter(requestWrapper, servletResponse);} else {responseFail(httpResponse,ReturnCode.ARGUMENT_ERROR);return;}
}
private void responseFail(HttpServletResponse httpResponse, ReturnCode returnCode) {ResultDataObject resultData ResultData.fail(returnCode.getCode(), returnCode.getMessage());WebUtils.writeJson(httpResponse,resultData);}
Overridepublic void init(FilterConfig filterConfig) throws ServletException {String signTime filterConfig.getInitParameter(signMaxTime);signMaxTime Long.parseLong(signTime);}
}6、Redis工具类Component
public class RedisUtil {Resourceprivate RedisTemplateString, Object redisTemplate;
/*** 判断key是否存在* param key 键* return true 存在 false不存在*/public boolean hasKey(String key) {try {return Boolean.TRUE.equals(redisTemplate.hasKey(key));} catch (Exception e) {e.printStackTrace();return false;}}
/*** 普通缓存放入并设置时间* param key 键* param value 值* param time 时间(秒) time要大于0 如果time小于等于0 将设置无限期* return true成功 false 失败*/public boolean set(String key, Object value, long time) {try {if (time 0) {redisTemplate.opsForValue().set(key, value, time, TimeUnit.SECONDS);} else {set(key, value);}return true;} catch (Exception e) {e.printStackTrace();return false;}}
/*** 普通缓存放入* param key 键* param value 值* return true成功 false失败*/public boolean set(String key, Object value) {try {redisTemplate.opsForValue().set(key, value);return true;} catch (Exception e) {e.printStackTrace();return false;}}
}
