开放平台API安全设计方案

一、解决问题：

请求身份是否合法？
请求参数是否被篡改？
请求是否唯一？

二、问题分析与处理

1.身份合法性保证:

clientid+secretkey方案

参数名	是否必须
clientid	开发者标识/应用标识
secretkey	用于接口加密

为开发者分配clientid（开发者标识，确保唯一）和secretkey（用于接口加密，确保不易被穷举，生成算法不易被猜测）

2.请求被篡改防护：预防请求被中途篡改的隐患

参数签名方案

按照请求参数名的字母升序排列非空请求参数（包含clientid），使用URL键值对的格式（即key1=value1&key2=value2…）拼接成字符串stringA；
在stringA最后拼接上secretkey得到字符串stringSignTemp；
对stringSignTemp进行MD5运算，并将得到的字符串所有字符转换为大写，得到sign值。

请求携带参数clientid和sign，只有拥有合法的身份clientid和正确的签名sign才能放行。这样就解决了身份验证和参数篡改问题，即使请求参数被劫持，由于获取不到secretkey（仅作本地加密使用，不参与网络传输），无法伪造合法的请求。

3.请求唯一性保证：预防重复使用请求参数伪造二次请求的隐患

timestamp+nonce方案

timestamp：定义一个客户端与服务器之间允许的时间差。当有新的请求进入时，首先检查携带的timestamp是否在15分钟内，如超出时间范围，则拒绝。

nonce：指唯一的随机字符串，用来标识每个被签名的请求。通过为每个请求提供一个唯一的标识符，服务器能够防止请求被多次使用。

对服务器来说永久存储所有接收到的nonce的代价是非常大的。可以使用timestamp来优化nonce的存储。
假设允许客户端和服务端最多能存在15分钟的时间差，同时追踪记录在服务端的nonce集合。当有新的请求进入时，首先检查携带的timestamp是否在15分钟内，如超出时间范围，则拒绝，然后查询携带的nonce，如存在已有集合，则拒绝。否则，记录该nonce，并删除集合内时间戳大于15分钟的nonce（可以使用redis的expire，新增nonce的同时设置它的超时失效时间为15分钟）。

实现:

客户端

参数名	是否必须	规格
clientid	开发者标识/应用标识	9位英文字符大写
secretkey	用于接口加密	20位数字英文字符大写
signature	加密签名	生成
timestamp	时间戳	毫秒级ms
nonce	随机数	数

//1.参数排序，拼接成字符串（例如：key1=value1&key2=value2）//2.将参数串接起来加上secretkey，生成待摘要字符串stringSignTemp//3.使用MD5等摘要算法生成摘要串,并将得到的摘要串所有字符转换为大写，得到sign值//4.请求携带参数clientid和sign，只有拥有合法的身份clientid和正确的签名sign才能放行

服务器端

//1.参数排序//2.将参数串接起来加上secret（通过header中的clientid在数据库获取），生成待摘要字符串//3.使用MD5等摘要算法生成摘要串,并将得到的摘要串所有字符转换为大写，得到sign值//4.服务端生成的摘要串sign与客户端通过header传递过来的摘要串sign进行比较