不要急，源代碼分享在最底部，先問(wèn)大家一個(gè)問(wèn)題，你在寫開(kāi)放的API接口時(shí)是如何保證數(shù)據(jù)的安全性的？先來(lái)看看有哪些安全性問(wèn)題在開(kāi)放的api接口中，我們通過(guò)http Post或者Get方式請(qǐng)求服務(wù)器的時(shí)候，會(huì)面臨著許多的安全性問(wèn)題，例如：

1. 請(qǐng)求來(lái)源(身份)是否合法？
2. 請(qǐng)求參數(shù)被篡改？
3. 請(qǐng)求的唯一性(不可復(fù)制)

為了保證數(shù)據(jù)在通信時(shí)的安全性，我們可以采用參數(shù)簽名的方式來(lái)進(jìn)行相關(guān)驗(yàn)證。

案列分析

我們通過(guò)給某 [移動(dòng)端(app)] 寫 [后臺(tái)接口(api)] 的案例進(jìn)行分析：

客戶端： 以下簡(jiǎn)稱app

后臺(tái)接口：以下簡(jiǎn)稱api

我們通過(guò)app查詢產(chǎn)品列表這個(gè)操作來(lái)進(jìn)行分析：

app中點(diǎn)擊查詢按鈕==》調(diào)用api進(jìn)行查詢==》返回查詢結(jié)果==>顯示在app中

上代碼啦 -_-！

一、不進(jìn)行驗(yàn)證的方式

api查詢接口：

app調(diào)用：http://api./getproducts?參數(shù)1=value1.......

如上，這種方式簡(jiǎn)單粗暴，通過(guò)調(diào)用getproducts方法即可獲取產(chǎn)品列表信息了，但是 這樣的方式會(huì)存在很嚴(yán)重的安全性問(wèn)題，沒(méi)有進(jìn)行任何的驗(yàn)證，大家都可以通過(guò)這個(gè)方法獲取到產(chǎn)品列表，導(dǎo)致產(chǎn)品信息泄露。那么，如何驗(yàn)證調(diào)用者身份呢？如何防止參數(shù)被篡改呢？

二、MD5參數(shù)簽名的方式

我們對(duì)api查詢產(chǎn)品接口進(jìn)行優(yōu)化：

1.給app分配對(duì)應(yīng)的key、secret

2.Sign簽名，調(diào)用API 時(shí)需要對(duì)請(qǐng)求參數(shù)進(jìn)行簽名驗(yàn)證，簽名方式如下：

a. 按照請(qǐng)求參數(shù)名稱將所有請(qǐng)求參數(shù)按照字母先后順序排序得到：keyvaluekeyvalue...keyvalue 字符串如：將arong=1,mrong=2,crong=3 排序?yàn)椋篴rong=1, crong=3,mrong=2 然后將參數(shù)名和參數(shù)值進(jìn)行拼接得到參數(shù)字符串：arong1crong3mrong2。

b. 將secret加在參數(shù)字符串的頭部后進(jìn)行MD5加密 ,加密后的字符串需大寫。即得到簽名Sign

新api接口代碼:

app調(diào)用：http://api./getproducts?key=app_key&sign=BCC7C71CF93F9CDBDB88671B701D8A35&參數(shù)1=value1&參數(shù)2=value2.......

注：secret 僅作加密使用, 為了保證數(shù)據(jù)安全請(qǐng)不要在請(qǐng)求參數(shù)中使用。

如上，優(yōu)化后的請(qǐng)求多了key和sign參數(shù)，這樣請(qǐng)求的時(shí)候就需要合法的key和正確簽名sign才可以獲取產(chǎn)品數(shù)據(jù)。這樣就解決了身份驗(yàn)證和防止參數(shù)篡改問(wèn)題，如果請(qǐng)求參數(shù)被人拿走，沒(méi)事，他們永遠(yuǎn)也拿不到secret,因?yàn)閟ecret是不傳遞的。再也無(wú)法偽造合法的請(qǐng)求。

但是...這樣就夠了嗎？細(xì)心的同學(xué)可能會(huì)發(fā)現(xiàn)，如果我獲取了你完整的鏈接，一直使用你的key和sign和一樣的參數(shù)不就可以正常獲取數(shù)據(jù)了...-_-!是的，僅僅是如上的優(yōu)化是不夠的

請(qǐng)求的唯一性：

為了防止別人重復(fù)使用請(qǐng)求參數(shù)問(wèn)題，我們需要保證請(qǐng)求的唯一性，就是對(duì)應(yīng)請(qǐng)求只能使用一次，這樣就算別人拿走了請(qǐng)求的完整鏈接也是無(wú)效的。唯一性的實(shí)現(xiàn)：在如上的請(qǐng)求參數(shù)中，我們加入時(shí)間戳 ：timestamp（yyyyMMddHHmmss），同樣，時(shí)間戳作為請(qǐng)求參數(shù)之一，也加入sign算法中進(jìn)行加密。

新的api接口：

app調(diào)用：http://api./getproducts?key=app_key&sign=BCC7C71CF93F9CDBDB88671B701D8A35&timestamp=201603261407&參數(shù)1=value1&參數(shù)2=value2.......

如上，我們通過(guò)timestamp時(shí)間戳用來(lái)驗(yàn)證請(qǐng)求是否過(guò)期。這樣就算被人拿走完整的請(qǐng)求鏈接也是無(wú)效的。

Sign簽名安全性分析：

通過(guò)上面的案例，我們可以看出，安全的關(guān)鍵在于參與簽名的secret，整個(gè)過(guò)程中secret是不參與通信的，所以只要保證secret不泄露，請(qǐng)求就不會(huì)被偽造。

上述的Sign簽名的方式能夠在一定程度上防止信息被篡改和偽造，保障通信的安全，這里使用的是MD5進(jìn)行加密，當(dāng)然實(shí)際使用中大家可以根據(jù)實(shí)際需求進(jìn)行自定義簽名算法，比如：RSA，SHA等。相關(guān)方法源碼分享：