阿里一面：如何保证API接口数据安全？-技术圈

由于公众号文章推送规则的改变，所以为了大家能够准时收到我们的文章推送，请记得将公众号： JAVA 设为星标～这样就不会错过每一篇精彩的推送啦~

来源 |头条作者老顾聊技术

前言

前后端分离的开发方式，我们以接口为标准来进行推动，定义好接口，各自开发自己的功能，最后进行联调整合。无论是开发原生的APP还是webapp还是PC端的软件,只要是前后端分离的模式，就避免不了调用后端提供的接口来进行业务交互。

网页或者app，只要抓下包就可以清楚的知道这个请求获取到的数据，也可以伪造请求去获取或攻击服务器；也对爬虫工程师来说是一种福音，要抓你的数据简直轻而易举。那我们怎么去解决这些问题呢？

接口签名

我们先考虑一下接口数据被伪造，以及接口被重复调用的问题，要解决这个问题我们就要用到接口签名的方案，

签名流程

签名规则

1、线下分配appid和appsecret，针对不同的调用方分配不同的appid和appsecret
2、加入timestamp（时间戳），5分钟内数据有效
3、加入临时流水号 nonce（防止重复提交），至少为10位。针对查询接口，流水号只用于日志落地，便于后期日志核查。针对办理类接口需校验流水号在有效期内的唯一性，以避免重复请求。
4、加入签名字段signature，所有数据的签名信息。

以上字段放在请求头中。

签名的生成

签名signature字段生成规则

所有动态参数 = 请求头部分 + 请求URL地址 + 请求Request参数 + 请求Body

上面的动态参数以key-value的格式存储，并以key值正序排序，进行拼接

最后拼接的字符串在拼接appSecret

signature = DigestUtils.md5DigestAsHex(sortParamsMap + appSecret)

即拼接成一个字符串，然后做md5不可逆加密

请求头部分

请求头=“appId=xxxx&nonce=xxxx×tamp=xxxx&sign=xxx”

请求头中的4个参数是必须要传的，否则直接报异常

请求URL地址

https://mso.xxxx.com.cn/api/user

请求Request参数

即请求为Get方式的时候，获取的传入的参数

请求Body

即请求为Post时，请求体Body

从request inputstream中获取保存为String形式

签名算法实现

基本原理其实也比较简单，就是自定义filter，对每个请求进行处理；整体流程如下

1）验证必须的头部参数
2）获取头部参数，request参数，Url请求路径，请求体Body，把这些值放入SortMap中进行排序
3）对SortMap里面的值进行拼接
4）对拼接的值进行加密，生成sign
5）把生成的sign和前端传入的sign进行比较，如果不相同就返回错误

我们来看一下代码

@Component
public class SignAuthFilter extends OncePerRequestFilter{
  static final String FAVICON = "/favicon.ico";
  static final String PREFIX = "attack:signature:";
}