开放接口API安全性
服务端对外开放API接口,尤其对移动应用开放接口的时候,更需要关注接口安全性的问题,要确保应用APP与API之间的安全通信,防止数据被恶意篡改等攻击。
安全考量点
Token机制
开放接口时最基本需要考虑到接口不应该被别人随意访问,而我也不能随意访问到其他用户的数据,从而保证用户与用户之间的数据隔离。这个时候我们就有必要引入Token机制了。具体的做法: 在用户成功登录时,系统可以返回客户端一个Token,后续客户端调用服务端的接口,都需要带上Token,而服务端需要校验客户端Token的合法性。Token不一致的情况下,服务端需要拦截该请求。
对数据进行校验
服务端从某种层面来说需要验证接受到数据是否和客户端发来的数据是否一致,要验证数据在传输过程中有没有被注入攻击。这时候客户端和服务端就有必要做签名和验签。具体做法: 客户端对所有请求服务端接口参数做加密生成签名,并将签名作为请求参数一并传到服务端,服务端接受到请求同时要做验签的操作,对称加密对请求参数生成签名,并与客户端传过来的签名进行比对,如签名不一致,服务端需要拦截该请求
过载保护
服务端仍然需要识别一些恶意请求,防止接口被一些丧心病狂的人玩坏。对接口访问频率设置一定阈值,对超过阈值的请求进行屏蔽及预警。
异常封装
服务端需要构建异常统一处理框架,将服务可能出现的异常做统一封装,返回固定的code与msg,防止程序堆栈信息暴露。
HTTPS
HTTPS能够有效防止中间人攻击,有效保证接口不被劫持,对数据窃取篡改做了安全防范。但HTTP升级HTTPS会带来更多的握手,而握手中的运算会带来更多的性能消耗。这也是不得不考虑的问题。
总得来说,我们非常有必要在设计接口的同时考虑安全性的问题,根据业务特点,采用的安全策略也不全相同。当然大多数安全策略更多的都是提高安全门槛,并不能保证100%的安全,但该做的还是不能少。
Token签名sign的设计与实现
对于敏感的api接口,需使用https协议,https是在http超文本传输协议加入SSL层,它在网络间通信是加密的,所以需要加密证书。https协议需要ca证书,一般需要交费。
签名的设计
原理:用户登录后向服务器提供用户认证信息(如账户和密码),服务器认证完后给客户端返回一个Token令牌,用户再次获取信息时,带上此令牌,如果令牌正取,则返回数据。对于获取Token信息后,访问用户相关接口,客户端请求的url需要带上如下参数:
时间戳: timestamp
Token令牌: token
然后将所有用户请求的参数按照字母排序(包括timestamp,token),然后使用MD5(可以加点盐)或者SHA1加密,全部大写,生成sign签名,这就是所说的url签名算法。然后登陆后每次调用用户信息时,带上sign,timestamp,token参数。例如:原请求https://www.zzz.com/api/user/update/info.shtml?city=北京
(post和get都一样,对所有参数排序加密),加上时间戳和token后https://www.zzz.com/api/user/update/info.shtml?city=北京×tamp=12445323134&token=wefkfjdskfjewfjkjfdfnc
,然后根据url参数生成sign,最终的请求如https://www.zzz.com/api/user/update/info.shtml?city=北京×tamp=12445323134&token=wefkfjdskfjewfjkjfdfnc&sign=FDK2434JKJFD334FDF2
,其最终的原理是减小明文的暴露次数,保证数据安全的访问。
具体实现
API请求客户端想服务器端第一次发送用用户认证信息(用户名和密码),服务器端请求到改请求后,验证用户信息是否正确。如果正确:则返回一个唯一不重复的字符串(一般为UUID),然后在Redis(任意缓存服务器)中维护Token —> Uid
的用户信息关系,以便其他API对token的校验。如果错误:则返回错误码。
服务器设计一个url请求拦截规则:
- 判断是否包含timestamp,token,sign参数,如果不含有返回错误码。
- 判断服务器接到请求的时间和参数中的时间戳是否相差很长一段时间(时间自定义如半个小时),如果超过则说明该url已经过期(如果url被盗,他改变了时间戳,但是会导致sign签名不相等)。
- 判断token是否有效,根据请求过来的token,查询redis缓存中的uid,如果获取不到这说明该token已过期。
- 根据用户请求的url参数,服务器端按照同样的规则生成sign签名,对比签名看是否相等,相等则放行。(url签名也无法100%保证其安全,也可以通过公钥AES对数据和url加密,但这样如果无法确保公钥丢失,所以签名只是很大程 度上保证安全)。
- 此url拦截只需对获取身份认证的url放行(如登陆url),剩余所有的url都需拦截。
对于用户登录我们需要创建token–uid的关系,用户退出时需要需删除token –> uid
的关系
开放接口API安全性相关推荐
- python api接口 安全_App开放接口api安全性的设计与实现
前言 在app开放接口api的设计中,避免不了的就是安全性问题,因为大多数接口涉及到用户的个人信息以及一些敏感的数据,所以对这些接口需要进行身份的认证, 那么这就需要用户提供一些信息,比如用户名密码等 ...
- App开放接口api安全:Token签名sign的设计与实现
点击上方蓝色"方志朋",选择"设为星标"回复"666"获取独家整理的学习资料! 来源:cnblogs.com/whcghost/p/5657 ...
- 开放接口API(开发者的福利)
作为软件开发者来说,没事做点小东西,或者学习的时候做一个练手的小项目,比如:做小程序,app,前段项目等等. 这种难免会需要接口的配合,但是既要做前端又要做后台接口开发,难免有时间和能力的缺陷,怎么才 ...
- 巴士电台开放接口API
巴士电台(Bus.Fm)是跟落网站长和朋友们一起开发的一个在线电台,非商业运营,目前已稳定运行几个月,考虑到我们人手不够,因为赶制了开放接口出来,希望有心的网友来加入制作各种好玩的应用在各大平台上面, ...
- Java—通过sign签名认证实现安全的开放接口API
关注微信公众号:CodingTechWork,一起学习进步. 文章目录 引言 API接口 timestamp保证唯一性 shell生成timestamp java生成timestamp模板 sign签 ...
- 获取网易云音乐开放接口api的推荐歌单
网易云音乐开放api接口 网址:https://binaryify.github.io/NeteaseCloudMusicApi/#/?id=neteasecloudmusicapi 项目地址:htt ...
- 魔高一丈道高一尺,开放接口安全性设计
2019独角兽企业重金招聘Python工程师标准>>> 乐猿社区,程序员的花果山 问题 在开放接口api的设计中,避免不了的就是安全性问题,因为大多数接口涉及到用户的个人信息以及一些 ...
- 开放接口/RESTful/Api服务的设计和安全方案详解
一.总体思路 这个涉及到两个方面问题: 一个是接口访问认证问题,主要解决谁可以使用接口(用户登录验证.来路验证) 一个是数据数据传输安全,主要解决接口数据被监听(HTTPS安全传输.敏感内容加密.数字 ...
- 免费音乐开放接口api_5种免费开放的音乐制作工具
免费音乐开放接口api 作为音乐老师,我向学生推广免费/自由/开放软件(以及音乐和教育材料!). 在某些情况下(例如完全切换到GNU / Linux),鉴于所有不一致的质量和怪异之处,这可能很困难. ...
最新文章
- Android读写XML(上)
- Google的系统工程师(SA)如何工作
- ORACLE纯SQL实现多行合并一行
- 颜宁课题组再发Cell!1个月时间内4篇顶刊!
- multism中ui和uo应该怎么表示_Excel中VBA程序基本语法之强大的数组,了解数组的功能...
- Apache服务器全局配置之服务器标识配置篇
- [转]Linux 基本操作(RM 删除)
- mysql将公历农历转换_SQL 日期转换(阳历转阴历)
- hadoop-bigdata-v2.2 版本shell脚本一键部署 master、slaver1、slaver2三个节点源代码.
- 谢震业,离“苏神”还有多远?
- Linux基本知识总结、常用命令教程、shell脚本开发、编辑器及调试器的使用教程
- 韩国5G产品定价及营销策略剖析
- 快递物流查询,教你自动查询并识别所有快递是否签收、退回
- fastjson byte[]转json字符串
- qbittorrent 等待_qBittorrent下载BT电影教程
- 直扩同步的跟踪 matlab,基于FPGA的猝发式直扩载波同步技术研究与实现
- 毕业设计-基于微信小程序的实验室仪器设备管理系统
- 用OpenCV调用IP摄像头(python版)
- WPS和office有什么不同
- 建站助手配置mysql远程权限_建站助手设置数据库
热门文章
- Scala学习笔记(黑马视频)
- APG(Accelerate Proximal Gradient)加速近端梯度算法 和 NAG(Nesterov accelerated gradient)优化器原理 (二)
- 美团/叮咚/盒马/淘鲜达/百联到家autojs脚本学习案例
- Odoo11入门请假单模块学习教程源码
- Java8之写一个装逼的函数式代码
- ios微信软键盘之殇
- 【文件夹访问被拒绝】删文件夹的时候遇到“你需要权限来执行此操作 你需要来自 我的本\Administrator 的权限才能对此文件夹进行更改”
- Zotero使用TIPS
- 关于error: The following untracked working tree files would be overwritten by checkout的解决方案
- 在Linux下搭建带MOD 我的世界(Minecraft)服务器