摘要：移動(dòng)應(yīng)用開發(fā)過程中請(qǐng)求服務(wù)端采用在計(jì)算機(jī)身份認(rèn)證中是令牌臨時(shí)方式請(qǐng)求方式進(jìn)行，請(qǐng)求方式下直接暴露在請(qǐng)求路徑很容易被別人利用進(jìn)行篡改進(jìn)行重復(fù)提交等，怎樣保證移動(dòng)端安全成為后臺(tái)開發(fā)者所面臨的問題，因?yàn)樯婕懊舾行袠I(yè)數(shù)據(jù)接口開發(fā)過程中安全性成為要求

移動(dòng)應(yīng)用開發(fā)過程中請(qǐng)求服務(wù)端采用token(在計(jì)算機(jī)身份認(rèn)證中是令牌（臨時(shí)）)方式請(qǐng)求方式進(jìn)行，get請(qǐng)求方式下token直接暴露在請(qǐng)求路徑很容易被別人利用進(jìn)行篡改進(jìn)行重復(fù)提交等，怎樣保證移動(dòng)端安全成為后臺(tái)開發(fā)者所面臨的問題,，因?yàn)樯婕懊舾行袠I(yè)數(shù)據(jù)APP接口開發(fā)過程中安全性成為要求，在網(wǎng)上看了很多資料最后選擇采用token+time+nonce+sign方式在過濾器層進(jìn)行校驗(yàn)，APP進(jìn)行拼接加密，后端Filter進(jìn)行解密校驗(yàn)，優(yōu)點(diǎn)實(shí)現(xiàn)簡(jiǎn)單,能夠很好保證請(qǐng)求過程中APP端到服務(wù)器端安全性，因此此種校驗(yàn)方式被很多互聯(lián)網(wǎng)公司所采用。

token: token為用戶登錄時(shí)獲取的臨時(shí)令牌
time: APP獲取到的當(dāng)前時(shí)間,形式為long類型，time時(shí)間可進(jìn)行匹配APP獲取時(shí)間和服務(wù)器時(shí)間差如果大于某個(gè)時(shí)間則失效（如鏈接超過60秒失效,具體可參考源碼），可防止別人截取數(shù)據(jù)后修改數(shù)據(jù)內(nèi)容進(jìn)行提交
nonce：APP接口通過UUID等形式獲取的隨機(jī)不重復(fù)內(nèi)容,可以講nonce存放在session或redis中并設(shè)置合適的超時(shí)時(shí)間,然后下次請(qǐng)求時(shí)通過nonce取session或redis中是否存在，如果存在則認(rèn)為重復(fù)提交請(qǐng)求，防止被別人篡改后提交數(shù)據(jù)
sign: 通過token+time+nonce三個(gè)參數(shù)加密后的密文（sign加密可使用使用ase,md5等加密方式，需要注意md5加密不可逆，實(shí)現(xiàn)過程有所區(qū)別），sign主要校驗(yàn)token、time、nonce有沒有被別人篡改數(shù)據(jù)

     1在過濾層實(shí)現(xiàn)SecurityFilter類

 public class SecurityFilter extends Filter {

private static String secretKey = ApplicationConfig.secretKey;
private static String ivParameter = ApplicationConfig.ivParameter ;
// 本文采用ase加密 將加密secretKey及ivParameter 的保存在properties文件中，使用公共接口加載，用戶可以選擇其他加密方式

@Override
protected void doDestroy() {
    // TODO Auto-generated method stub

}

@Override
protected void doFilter(HttpServletRequest request,
        HttpServletResponse response, FilterChain chain) throws Throwable {
    String requestUri = request.getRequestURI();
    //登錄接口則直接不適用
    if(requestUri.indexOf("applogin")>-1){
          chain.doFilter(request, response);
    } else {
        MsgEntity msg = new MsgEntity();
        // 獲取request的URL，用于判斷該請(qǐng)求是否超時(shí)
        String time = request.getParameter("time");
        // 獲取請(qǐng)求nonce,用于判斷是否用戶重復(fù)提交
        String nonce = request.getParameter("nonce");
        // 獲取token碼,實(shí)際傳入token值
        String token = request.getParameter("token");
        // 獲取sign,通過time,nonce,token合并進(jìn)行加密后密文，需要注意加密順序，平臺(tái)必須與APP一致
        String sign = request.getParameter("sign");
        // 判斷數(shù)據(jù)是否存在
        if (StringUtils.isEmpty(time) || StringUtils.isEmpty(nonce)
                || StringUtils.isEmpty(token) || StringUtils.isEmpty(sign)) {
            msg.setMsg("登錄失敗");
            msg.setState(false);
            HttpRequestUtils.writeResponseJsonString(response, msg);
            return;
        }
        //在實(shí)際開發(fā)過程中傳入數(shù)據(jù)發(fā)現(xiàn)存在%號(hào)無法進(jìn)行解密，需要進(jìn)行URLDecoder.decode進(jìn)行解碼
        if (sign.indexOf("%") > -1) {
            sign = URLDecoder.decode(sign, "UTF-8");
        }
        // 判斷請(qǐng)求是否超過60秒，超過60秒則次請(qǐng)求鏈接失效，返回登錄失敗，可根據(jù)網(wǎng)絡(luò)情況適當(dāng)延長(zhǎng)或者縮短時(shí)間
        if (difference(time) > 60) {
            msg.setMsg("登錄失敗");
            msg.setState(false);
            HttpRequestUtils.writeResponseJsonString(response, msg);
            return;
        }
        // 判斷是否是重復(fù)請(qǐng)求，如果請(qǐng)求nonce存在則登錄失敗，不存在則將nonce存在redis中或session中并設(shè)置合適超時(shí)時(shí)間
        if (JedisUtils.exists(nonce)) {
            msg.setState(false);
            msg.setMsg("登錄失敗");
            HttpRequestUtils.writeResponseJsonString(response, msg);
            return;
        } else {
            JedisUtils.set(nonce, "0", 70);
        }
         
        // aes 解密，sign和token + time + nonce進(jìn)行比較判斷數(shù)據(jù)數(shù)據(jù)是否存在篡改
        String mingwei = "";
        try {
            mingwei = AesUtils.decrypt(sign);
        } catch (Exception e) {
            // TODO Auto-generated catch block
            e.printStackTrace();
        }
        if (!mingwei.equals(token + time + nonce)) {
            msg.setState(false);
            msg.setMsg("登錄失敗");
            HttpRequestUtils.writeResponseJsonString(response, msg);
            return;
        }
         //如果請(qǐng)求全部驗(yàn)證通過則放行
        chain.doFilter(request, response);
    }

//主要用于系統(tǒng)時(shí)間-APP發(fā)送數(shù)據(jù)時(shí)生成日期得到當(dāng)前差值（秒）
public int difference(String past) {
    long newTimestamp = new Date().getTime();
    return Math.abs((int) (newTimestamp - Long.parseLong(past)) / 1000);
}
   }
    
        /**
 * aes 解密
 * 
 * @param sSrc
 * @return
 * @throws Exception
 */
public static String decrypt(String sSrc) throws Exception {
    try {
        byte[] raw = secretKey.getBytes("ASCII");
        SecretKeySpec skeySpec = new SecretKeySpec(raw, "AES");
        Cipher cipher = Cipher.getInstance("AES / CBC / PKCS5Padding");
        IvParameterSpec iv = new IvParameterSpec(ivParameter.getBytes());
        cipher.init(Cipher.DECRYPT_MODE, skeySpec, iv);
        byte[] encrypted1 = new BASE64Decoder().decodeBuffer(sSrc);// 先用base64解密
        byte[] original = cipher.doFinal(encrypted1);
        String originalString = new String(original, "UTF-8");
        return originalString;
    } catch (Exception ex) {
        return null;
    }
}

以上為過濾實(shí)現(xiàn)token校驗(yàn)規(guī)則代碼，在開發(fā)過程中可以參考此代碼進(jìn)行適當(dāng)修改進(jìn)行使用