从品牌网站建设到网络营销策划,从策略到执行的一站式服务
小编给大家分享一下如何做开放API的签名认证,相信大部分人都还不怎么了解,因此分享这篇文章给大家参考一下,希望大家阅读完这篇文章后大有收获,下面让我们一起去了解一下吧!
宝山ssl适用于网站、小程序/APP、API接口等需要进行数据传输应用场景,ssl证书未来市场广阔!成为创新互联公司的ssl证书销售渠道,可以享受市场价格4-6折优惠!如果有意向欢迎电话联系或者加微信:13518219792(备注:SSL证书合作)期待与您的合作!
项目中有一套restful接口需要暴露在公网环境中,需要确保调用安全。包括以下三个方面
1、请求来源(身份)要合法
2、请求参数不能被篡改
3、请求要唯一(不可复制)
为了保证数据在通信时的安全性,可以采用参数签名的方式来进行相关验证。
一、不验证的方式
伪代码如下图
这种方式实现简单,但是问题非常明显,谁都可以得到想要的数据。
二、MD5参数签名
参看《MD5防止数据被篡改的做法》
我们对api查询产品接口进行优化
1.给app分配对应的key、secret
2.sign签名,调用API 时需要对请求参数进行签名验证,签名方式如下
(1)按照请求参数名称将所有请求参数按照字母先后顺序排序得到,keyvaluekeyvalue...keyvalue 字符串如:将arong=1,mrong=2,crong=3 排序为,arong=1, crong=3,mrong=2 然后将参数名和参数值进行拼接得到参数字符串,arong1crong3mrong2
(2)将secret加在参数字符串的头部后进行MD5加密 ,加密后的字符串需大写。即得到签名sign
新api接口代码如下
这种方法请求多了key和sign参数,请求的时候就需要合法的key和正确签名sign才可以获取群组数据。这样就解决了身份验证和防止参数篡改问题。如果请求参数被人拿走,他永远也拿不到secret,因为secret是不传递的(客户端中病毒除外)。没有secrret无法伪造合法的请求。
但是这样还不够,如果获取你完整的链接,一直使用你的key和sign和一样的参数同样可以得到数据
三、请求唯一性保证
为了防止别人重复使用请求参数问题,我们需要保证请求的唯一性,就是对应请求只能使用一次,这样就算别人拿走了请求的完整链接也是无效的。
唯一性的实现:在如上的请求参数中,我们加入时间戳timestamp(yyyyMMddHHmmss),同样,时间戳作为请求参数之一,也加入sign算法中进行加密
通过timestamp时间戳用来验证请求是否过期。这样就算被人拿走完整的请求链接也是无效的。除此之外,还可以增加浏览器指纹(后续单独写文章说明)等技术,对请求唯一性进行验证。
sign签名安全性分析
通过上面的例子,可以看出,安全的关键在于参与签名的secret,整个过程中secret是不参与通信的,所以只要保证secret不泄露,请求就不会被伪造。
上述的sign签名的方式能够在一定程度上防止信息被篡改和伪造,保障通信的安全,这里使用的是MD5进行加密,在实际使用中可以根据需求采用其他签名算法,比如:RSA,SHA等。
以上是“如何做开放API的签名认证”这篇文章的所有内容,感谢各位的阅读!相信大家都有了一定的了解,希望分享的内容对大家有所帮助,如果还想学习更多知识,欢迎关注创新互联行业资讯频道!
成都网站建设公司地址:成都市青羊区太升南路288号锦天国际A座10层 建设咨询028-86922220
成都快上网科技有限公司-四川网站建设设计公司 | 蜀ICP备19037934号 Copyright 2020,ALL Rights Reserved cdkjz.cn | 成都网站建设 | © Copyright 2020版权所有.
专家团队为您提供成都网站建设,成都网站设计,成都品牌网站设计,成都营销型网站制作等服务,成都建网站就找快上网! | 成都网站建设哪家好? | 网站建设地图