symfony api 错误响应_如何设计一个牛逼的 API 接口
主要从以上三个方面来设计一个安全的API接口。
一 安全性问题
安全性问题是一个接口必须要保证的规范。如果接口保证不了安全性,那么你的接口相当于直接暴露在公网环境中任人蹂躏。
1.1 调用接口的先决条件-token
获取token一般会涉及到几个参数appid
,appkey
,timestamp
,nonce
,sign
。我们通过以上几个参数来获取调用系统的凭证。appid
和appkey
可以直接通过平台线上申请,也可以线下直接颁发。appid
是全局唯一的,每个appid
将对应一个客户,appkey
需要高度保密。timestamp
是时间戳,使用系统当前的unix时间戳。时间戳的目的就是为了减轻DOS攻击。防止请求被拦截后一直尝试请求接口。服务器端设置时间戳阀值,如果请求时间戳和服务器时间超过阀值,则响应失败。nonce
是随机值。随机值主要是为了增加sign
的多变性,也可以保护接口的幂等性,相邻的两次请求nonce
不允许重复,如果重复则认为是重复提交,响应失败。sign
是参数签名,将appkey
,timestamp
,nonce
拼接起来进行md5加密(当然使用其他方式进行不可逆加密也没问题)。token
,使用参数appid
,timestamp
,nonce
,sign
来获取token,作为系统调用的唯一凭证。token
可以设置一次有效(这样安全性更高),也可以设置时效性,这里推荐设置时效性。如果一次有效的话这个接口的请求频率可能会很高。token
推荐加到请求头上,这样可以跟业务参数完全区分开来。
1.2 使用POST作为接口请求方式
一般调用接口最常用的两种方式就是GET和POST。两者的区别也很明显,GET请求会将参数暴露在浏览器URL中,而且对长度也有限制。为了更高的安全性,所有接口都采用POST方式请求。
1.3 客户端IP白名单
ip白名单是指将接口的访问权限对部分ip进行开放。这样就能避免其他ip进行访问攻击,设置ip白名单比较麻烦的一点就是当你的客户端进行迁移后,就需要重新联系服务提供者添加新的ip白名单。设置ip白名单的方式很多,除了传统的防火墙之外,spring cloud alibaba提供的组件sentinel也支持白名单设置。为了降低api的复杂度,推荐使用防火墙规则进行白名单设置。
1.4 单个接口针对ip限流
限流是为了更好的维护系统稳定性。使用redis进行接口调用次数统计,ip+接口地址作为key,访问次数作为value,每次请求value+1,设置过期时长来限制接口的调用频率。
1.5 记录接口请求日志
使用aop全局记录请求日志,快速定位异常请求位置,排查问题原因。
1.6 敏感数据脱敏
在接口调用过程中,可能会涉及到订单号等敏感数据,这类数据通常需要脱敏处理,最常用的方式就是加密。加密方式使用安全性比较高的RSA
非对称加密。非对称加密算法有两个密钥,这两个密钥完全不同但又完全匹配。只有使用匹配的一对公钥和私钥,才能完成对明文的加密和解密过程。
二 幂等性问题
幂等性是指任意多次请求的执行结果和一次请求的执行结果所产生的影响相同。说的直白一点就是查询操作无论查询多少次都不会影响数据本身,因此查询操作本身就是幂等的。但是新增操作,每执行一次数据库就会发生变化,所以它是非幂等的。幂等问题的解决有很多思路,这里讲一种比较严谨的。提供一个生成随机数的接口,随机数全局唯一。调用接口的时候带入随机数。第一次调用,业务处理成功后,将随机数作为key,操作结果作为value,存入redis,同时设置过期时长。第二次调用,查询redis,如果key存在,则证明是重复提交,直接返回错误。
三 数据规范问题
3.1 版本控制
一套成熟的API文档,一旦发布是不允许随意修改接口的。这时候如果想新增或者修改接口,就需要加入版本控制,版本号可以是整数类型,也可以是浮点数类型。一般接口地址都会带上版本号,http://ip:port//v1/list。
3.2 响应状态码规范
一个牛逼的API,还需要提供简单明了的响应值,根据状态码就可以大概知道问题所在。我们采用http的状态码进行数据封装,例如200表示请求成功,4xx表示客户端错误,5xx表示服务器内部发生错误。状态码设计参考如下:
分类 | 描述 |
---|---|
1xx | 信息,服务器收到请求,需要请求者继续执行操作 |
2xx | 成功 |
3xx | 重定向,需要进一步的操作以完成请求 |
4xx | 客户端错误,请求包含语法错误或无法完成请求 |
5xx | 服务端错误 |
状态码枚举类:
public enum CodeEnum {
// 根据业务需求进行添加 SUCCESS(200,"处理成功"), ERROR_PATH(404,"请求地址错误"), ERROR_SERVER(505,"服务器内部发生错误");
private int code; private String message;
CodeEnum(int code, String message) { this.code = code; this.message = message; }
public int getCode() { return code; }
public void setCode(int code) { this.code = code; }
public String getMessage() { return message; }
public void setMessage(String message) { this.message = message; }}
3.3 统一响应数据格式
为了方便给客户端响应,响应数据会包含三个属性,状态码(code),信息描述(message),响应数据(data)。客户端根据状态码及信息描述可快速知道接口,如果状态码返回成功,再开始处理数据。
响应结果定义及常用方法:
public class R implements Serializable {
private static final long serialVersionUID = 793034041048451317L;
private int code; private String message; private Object data = null;
public int getCode() { return code; } public void setCode(int code) { this.code = code; }
public String getMessage() { return message; } public void setMessage(String message) { this.message = message; }
public Object getData() { return data; }
/** * 放入响应枚举 */ public R fillCode(CodeEnum codeEnum){ this.setCode(codeEnum.getCode()); this.setMessage(codeEnum.getMessage()); return this; }
/** * 放入响应码及信息 */ public R fillCode(int code, String message){ this.setCode(code); this.setMessage(message); return this; }
/** * 处理成功,放入自定义业务数据集合 */ public R fillData(Object data) { this.setCode(CodeEnum.SUCCESS.getCode()); this.setMessage(CodeEnum.SUCCESS.getMessage()); this.data = data; return this; }}
总结
本篇文章从安全性、幂等性、数据规范等方面讨论了API设计规范。除此之外,一个好的API还少不了一个优秀的接口文档。接口文档的可读性非常重要,虽然很多程序员都不喜欢写文档,而且不喜欢别人不写文档。为了不增加程序员的压力,推荐使用swagger或其他接口管理工具,通过简单配置,就可以在开发中测试接口的连通性,上线后也可以生成离线文档用于管理API。
- END -
最近整理一份面试资料《Java技术栈学习手册》,覆盖了Java技术、面试题精选、Spring全家桶、Nginx、SSM、微服务、数据库、数据结构、架构等等。获取方式:点“ 在看,关注公众号 Java后端 并回复 777 领取,更多内容陆续奉上。推荐阅读 1. 介绍一款 API 敏捷开发工具2. 这 4 种 ThreadLocal 你都知道吗?3. Windows 给力!可以扔掉 Linux 虚拟机了!4. 25 张图搞懂「文件系统」
5. 干掉烦人的 Null !
喜欢文章,点个在看
symfony api 错误响应_如何设计一个牛逼的 API 接口相关推荐
- 如何设计一个牛逼的API接口
点击上方 好好学java ,选择 星标 公众号 重磅资讯.干货,第一时间送达 今日推荐:腾讯推出高性能 RPC 开发框架 个人原创100W+访问量博客:点击前往,查看更多 在日常开发中,总会接触到各种 ...
- 如何设计一个牛逼的本地缓存
点击上方"方志朋",选择"设为星标" 回复"666"获取新整理的面试文章 来源:ksfzhaohui juejin.im/post/5dd9 ...
- 如何设计一个牛逼的本地缓存!
来源:ksfzhaohui | http://dwz.win/Ws4 最近在看Mybatis的源码,刚好看到缓存这一块,Mybatis提供了一级缓存和二级缓存:一级缓存相对来说比较简单,功能比较齐全的 ...
- 如何设计一个牛逼的 Feed 流系统
点击上方"肉眼品世界",选择"设为星标" 深度价值体系传递 作者:少强 简介 差不多十年前,随着功能机的淘汰和智能机的普及,互联网开始进入移动互联网时代,最具代 ...
- 又发现一款牛逼的 API 敏捷开发工具
来源:xie.infoq.cn/article/b5c3a339267e1351c6151b42a 初衷 跟大家分享一个牛逼的 API 敏捷开发工具,用尽可能简单的方式,完成尽可能多的需求.通过约 ...
- 设计一个基于用户的API限流策略 Rate Limit
设计一个基于用户的API限流策略 Rate Limit 应用场景 API接口的流量控制策略:缓存.降级.限流.限流可以认为服务降级的一种,限流就是限制系统的输入和输出流量已达到保护系统的目的.限流策略 ...
- python爬取公众号阅读量_分享一个牛逼的Python项目:公众号文章爬虫
我订阅了近 100 个公众号,有时候想再找之前读过的文章,发现搜索起来特别困难,如果忘了收藏,估计得找半小时,更让人无语的是,文章已经发布者删除,或者文章因违规被删除.那么有没有这样的爬虫,可以将公众 ...
- python 公众号文章发布_分享一个牛逼的Python项目:公众号文章爬虫
我订阅了近 100 个公众号,有时候想再找之前读过的文章,发现搜索起来特别困难,如果忘了收藏,估计得找半小时,更让人无语的是,文章已经发布者删除,或者文章因违规被删除.那么有没有这样的爬虫,可以将公众 ...
- 设计一个笔记本电脑类,属性随意,并且进行属性私有化,对外提供公开的set和get方法。 设计一个可插拔的接口:InsertDrawable,该接口有什么方法自行定义。
代码 /* 开放型题目:设计一个笔记本电脑类,属性随意,并且进行属性私有化,对外提供公开的set和get方法.设计一个可插拔的接口:InsertDrawable,该接口有什么方法自行定义.设计一个鼠标 ...
最新文章
- spine - unity3D(摘自博主softimagewht)
- HTML5 利用canvas API 展示阴影效果
- jquery插件---自动补全类插件
- Script:Diagnostic Resource Manager
- Day01-计算机入门
- lammps教程:晶体建模之Atomsk方法(1)
- 教务管理系统数据字典mysql_数据库大作业_-教务管理系统
- 蓝牙加密方案,蓝牙方案,蓝牙usbkey,蓝牙key,蓝牙U盾,蓝牙智能卡(公交卡等CPU卡),蓝牙身份认证产品分享,蓝牙公交卡,蓝牙会员卡
- vue入门之04-生命周期 数据共享
- OpenCV初试云雨
- 有道云笔记markdown教程
- 网页端 vue项目 css美化右侧 Y轴滚动条
- cesium 街景 vs 三维视图 显卡 知识点.txt
- Echarts x轴字体倾斜
- maven oracle 10.2.0.4.0,马文介绍说ojdbc:ojdbc14-10.2.0.4.0.jar,Maven,引入,ojdbcojdbc14102040jar...
- 华为鲲鹏HCIA考试-练习03
- 【美团点评2020校招测试方向笔试题】算法题部分1.删除字符 2.队列组合排序 3.寻找最小子字符串 4.最大矩形 5.最短送餐路程计算
- Django实战—— Web可视化漏洞扫描器
- RPC-BDY(5)-服务自动注销、负载均衡
- 关于CCNA的培训课程(1)-- 网络基础部分
热门文章
- 消费金融大潮来了,银行必须打出这套进攻+防守的组合拳
- esxi服务器接移动硬盘,esxi添加usb移动硬盘存储数据
- java mongodb save,Java MongoDB一次保存多个文档
- linux查看密码配置文件,如何在Linux上查看和配置密码时效
- php oauth api,PHP实现人人OAuth登录和API调用
- oracle存储查询出来的值_技术分享|浅析ORACLE数据库物理体系结构及其对应优化策略...
- 使Element默认字体为中文
- 【Python教程】 print 和return 的区别
- 四种python 单继承的实现方式
- Python骚操作:动态定义函数