开放接口API安全性

朴灿烈づ我的快乐病毒、 2022-05-10 11:12 1217阅读 0赞

服务端对外开放API接口，尤其对移动应用开放接口的时候，更需要关注接口安全性的问题，要确保应用APP与API之间的安全通信，防止数据被恶意篡改等攻击。

## 安全考量点 ##

### Token机制 ###

开放接口时最基本需要考虑到接口不应该被别人随意访问，而我也不能随意访问到其他用户的数据，从而保证用户与用户之间的数据隔离。这个时候我们就有必要引入Token机制了。具体的做法： 在用户成功登录时，系统可以返回客户端一个Token，后续客户端调用服务端的接口，都需要带上Token，而服务端需要校验客户端Token的合法性。Token不一致的情况下，服务端需要拦截该请求。

### 对数据进行校验 ###

服务端从某种层面来说需要验证接受到数据是否和客户端发来的数据是否一致，要验证数据在传输过程中有没有被注入攻击。这时候客户端和服务端就有必要做签名和验签。具体做法：** 客户端对所有请求服务端接口参数做加密生成签名，并将签名作为请求参数一并传到服务端，服务端接受到请求同时要做验签的操作，对称加密对请求参数生成签名，并与客户端传过来的签名进行比对，如签名不一致，服务端需要拦截该请求**

### 过载保护 ###

服务端仍然需要识别一些恶意请求，防止接口被一些丧心病狂的人玩坏。对接口访问频率设置一定阈值，对超过阈值的请求进行屏蔽及预警。

### 异常封装 ###

服务端需要构建异常统一处理框架，将服务可能出现的异常做统一封装，返回固定的code与msg，防止程序堆栈信息暴露。

### HTTPS ###

HTTPS能够有效防止中间人攻击，有效保证接口不被劫持，对数据窃取篡改做了安全防范。但HTTP升级HTTPS会带来更多的握手，而握手中的运算会带来更多的性能消耗。这也是不得不考虑的问题。

总得来说，我们非常有必要在设计接口的同时考虑安全性的问题，根据业务特点，采用的安全策略也不全相同。当然大多数安全策略更多的都是提高安全门槛，并不能保证100%的安全，但该做的还是不能少。

## Token签名sign的设计与实现 ##

对于敏感的api接口，需使用https协议,https是在http超文本传输协议加入SSL层，它在网络间通信是加密的，所以需要加密证书。https协议需要ca证书，一般需要交费。

### 签名的设计 ###

原理：用户登录后向服务器提供用户认证信息（如账户和密码），服务器认证完后给客户端返回一个Token令牌，用户再次获取信息时，带上此令牌，如果令牌正取，则返回数据。对于获取Token信息后，访问用户相关接口，客户端请求的url需要带上如下参数：

> 时间戳: timestamp  
> Token令牌: token

然后将所有用户请求的参数按照字母排序（包括timestamp，token），然后使用MD5（可以加点盐）或者SHA1加密，全部大写，生成sign签名，这就是所说的url签名算法。然后登陆后每次调用用户信息时，带上sign，timestamp，token参数。例如：原请求`https://www.zzz.com/api/user/update/info.shtml?city=北京`（post和get都一样，对所有参数排序加密），加上时间戳和token后`https://www.zzz.com/api/user/update/info.shtml?city=北京&timestamp=12445323134&token=wefkfjdskfjewfjkjfdfnc`，然后根据url参数生成sign，最终的请求如`https://www.zzz.com/api/user/update/info.shtml?city=北京×tamp=12445323134&token=wefkfjdskfjewfjkjfdfnc&sign=FDK2434JKJFD334FDF2`，其最终的原理是减小明文的暴露次数，保证数据安全的访问。

### 具体实现 ###

API请求客户端想服务器端第一次发送用用户认证信息（用户名和密码），服务器端请求到改请求后，验证用户信息是否正确。如果正确：则返回一个唯一不重复的字符串（一般为UUID），然后在Redis（任意缓存服务器）中维护`Token —> Uid`的用户信息关系，以便其他API对token的校验。如果错误：则返回错误码。

服务器设计一个url请求拦截规则:

1.  判断是否包含timestamp，token，sign参数，如果不含有返回错误码。
2.  判断服务器接到请求的时间和参数中的时间戳是否相差很长一段时间（时间自定义如半个小时），如果超过则说明该url已经过期（如果url被盗，他改变了时间戳，但是会导致sign签名不相等）。
3.  判断token是否有效，根据请求过来的token，查询redis缓存中的uid，如果获取不到这说明该token已过期。
4.  根据用户请求的url参数，服务器端按照同样的规则生成sign签名，对比签名看是否相等，相等则放行。（url签名也无法100%保证其安全，也可以通过公钥AES对数据和url加密，但这样如果无法确保公钥丢失，所以签名只是很大程 度上保证安全）。
5.  此url拦截只需对获取身份认证的url放行（如登陆url），剩余所有的url都需拦截。

对于用户登录我们需要创建token–uid的关系，用户退出时需要需删除`token –> uid`的关系