API接口安全性設(shè)計(jì)思路

mikyou 發(fā)布于2019-08-16 12:29 / 650人閱讀

在工作中經(jīng)常遇見(jiàn)項(xiàng)目對(duì)接，那么該如何寫(xiě)一個(gè)安全的接口供給對(duì)方調(diào)用呢???

1.公共接口，任何人都可以訪問(wèn)調(diào)用
1.1.適合場(chǎng)景，公司后臺(tái)整合廣告管理，提供統(tǒng)一的接口返回給公司其他項(xiàng)目調(diào)用和郵件模板調(diào)用，這時(shí)候需要設(shè)計(jì)一個(gè)統(tǒng)一的接口，返回廣告的內(nèi)容。還有天氣查詢(xún)等場(chǎng)景。

 @PostMapping("/syncInfo")  
 public Result syncInfo(@RequestParam(name = "data")String data){  
       if(!StringUtils.isNotBlank(data)){  
           return  new Result("失敗！",false,HttpCode.STATUS_104);  
       }  
       InfoVo infoVo = JSONObject.parseObject(data,InfoVo.class);  
       dealInfo(infoVo);  
       return  new Result("成功！",true, HttpCode.STATUS_200);  
 }

2.接口參數(shù)加密
2.1.適合場(chǎng)景，公司內(nèi)部?jī)蓚€(gè)項(xiàng)目組進(jìn)行對(duì)接，為了防止接口被暴露和偽造訪問(wèn)，這個(gè)時(shí)候需要對(duì)參數(shù)進(jìn)行加密處理，防止接口被其他外部人員調(diào)用，一般采用desc或者aes對(duì)稱(chēng)加密，約定好秘鑰進(jìn)行對(duì)接。

@PostMapping("/syncInfo")  
public Result syncInfo(@RequestParam(name = "data")String data){  
    try {  
          if(!StringUtils.isNotBlank(data)){  
              return  new Result("失敗！",false,HttpCode.STATUS_104);  
          }  
          DES des = new DES("秘鑰".getBytes());  
          String j = des.decryptStr(data);  
          logger.debug("解碼前：" + data);  
          logger.debug("解碼后：" + j);  
          InfoVo infoVo = JSONObject.parseObject(j,InfoVo.class);  
          dealInfo(infoVo);  
          return  new Result("成功！",true, HttpCode.STATUS_200);  
      }catch (Exception e){  
            e.printStackTrace();  
            if(!StringUtils.isNotBlank(data)){  
                return  new Result("系統(tǒng)錯(cuò)誤！",false,HttpCode.STATUS_105);  
            }  
      }  
}

3.接口時(shí)效性加密+接口參數(shù)加密
3.1.適合場(chǎng)景，內(nèi)部接口加密過(guò)的數(shù)據(jù)鏈接被暴露，不斷有相同數(shù)據(jù)對(duì)接口進(jìn)行訪問(wèn)，這個(gè)適合需要對(duì)接口加入時(shí)間戳參數(shù)，設(shè)計(jì)失效時(shí)間解決這個(gè)問(wèn)題。

@PostMapping("/syncInfo")  
public Result syncInfo(@RequestParam(name = "data")String data){  
    try {  
          if(!StringUtils.isNotBlank(data)){  
              return  new Result("失敗！",false,HttpCode.STATUS_104);  
          }  
          DES des = new DES("秘鑰".getBytes());  
          String j = des.decryptStr(data);  
          logger.debug("解碼前：" + data);  
          logger.debug("解碼后：" + j);  
          InfoVo infoVo = JSONObject.parseObject(j,InfoVo.class);  
          if(AddSecondes(infoVo.getTime(),20) < new Date().getTime()){  
              return new Result("接口失效！",false,HttpCode.STATUS_100);  
          }  
          dealInfo(infoVo);  
          return new Result("成功！",true, HttpCode.STATUS_200);  
      }catch (Exception e){  
            e.printStackTrace();  
            if(!StringUtils.isNotBlank(data)){  
                return new Result("系統(tǒng)錯(cuò)誤！",false,HttpCode.STATUS_105);  
            }  
      }  
  
}

4.接口時(shí)效性+接口參數(shù)加密+不同來(lái)源的私鑰
4.1適合場(chǎng)景，當(dāng)接口秘鑰被泄露時(shí)，我們可以對(duì)不同的數(shù)據(jù)來(lái)源設(shè)置不同的私鑰，這樣即使接口秘鑰被泄露，沒(méi)有私鑰，依然不能對(duì)接口進(jìn)行操作，而且可以記錄是哪個(gè)項(xiàng)目的秘鑰被泄露，快速定位出問(wèn)題的來(lái)源，且不會(huì)影響其他項(xiàng)目調(diào)用。

@PostMapping("/syncInfo")  
public Result syncInfo(@RequestParam(name = "data")String data){  
    try {  
          if(!StringUtils.isNotBlank(data)){  
              return  new Result("失??！",false,HttpCode.STATUS_104);  
          }  
          DES des = new DES("基礎(chǔ)秘鑰".getBytes());  
          String j = des.decryptStr(data);  
          logger.debug("解碼前：" + data);  
          logger.debug("解碼后：" + j);  
          InfoVo infoVo = JSONObject.parseObject(j,InfoVo.class);  
          if(AddSecondes(infoVo.getTime(),20) < new Date().getTime()){  
              return  new Result("接口失效！",false,HttpCode.STATUS_100);  
          }  
          String sign = getSignByFrom(Info.getFrom());  
          logger.debug("來(lái)源秘鑰"+sign);  
          String k = des.decryptStr(Info.getData);  
          dealInfo(k);  
          return  new Result("成功！",true, HttpCode.STATUS_200);  
      }catch (Exception e){  
            e.printStackTrace();  
            if(!StringUtils.isNotBlank(data)){  
                return  new Result("系統(tǒng)錯(cuò)誤！",false,HttpCode.STATUS_105);  
            }  
      }  
}

云服務(wù)器 GPU云服務(wù)器 api接口設(shè)計(jì) api接口安全 js調(diào)用api接口安全性 app安全api接口

文章版權(quán)歸作者所有，未經(jīng)允許請(qǐng)勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。

轉(zhuǎn)載請(qǐng)注明本文地址：http://www.ezyhdfw.cn/yun/71188.html

發(fā)表評(píng)論

登陸后可評(píng)論

0條評(píng)論

mikyou

男|高級(jí)講師

我要關(guān)注我要私信

TA的文章

10個(gè)程序員必上的網(wǎng)站

閱讀 3751·2021-10-09 09:44
什么是域名中的主機(jī)名-域名中的主機(jī)名怎么看？

閱讀 3509·2021-09-22 15:29
開(kāi)發(fā)一個(gè)自己的 CSS 框架（三）

閱讀 3296·2019-08-30 15:54
css前端初始化

閱讀 3077·2019-08-29 16:19
學(xué)習(xí)實(shí)踐 - 收藏集 - 掘金

閱讀 2224·2019-08-29 12:50
serverless在微店node領(lǐng)域的探索應(yīng)用

閱讀 648·2019-08-26 14:04
js面試題目

閱讀 1775·2019-08-23 18:39
掌握 Javascript 類(lèi)型轉(zhuǎn)換：從規(guī)則開(kāi)始

閱讀 1403·2019-08-23 17:59

亚洲中字慕日产2020,大陆极品少妇内射AAAAAA,无码av大香线蕉伊人久久,久久精品国产亚洲av麻豆网站

資訊專(zhuān)欄INFORMATION COLUMN

上云采購(gòu)季！| 2核2G4M爆款云服務(wù)器低至59元/年，更有多臺(tái)、長(zhǎng)期優(yōu)惠，快來(lái)選購(gòu)！

API接口安全性設(shè)計(jì)思路

相關(guān)文章

**Hybrid APP架構(gòu)設(shè)計(jì)思路**

**權(quán)限設(shè)計(jì)的雜談**

Api項(xiàng)目設(shè)計(jì)攻略

接口測(cè)試要測(cè)試什么？

Java面試通關(guān)要點(diǎn)匯總集

發(fā)表評(píng)論

0條評(píng)論

mikyou

男|高級(jí)講師

TA的文章

10個(gè)程序員必上的網(wǎng)站

什么是域名中的主機(jī)名-域名中的主機(jī)名怎么看？

開(kāi)發(fā)一個(gè)自己的 CSS 框架（三）

css前端初始化

學(xué)習(xí)實(shí)踐 - 收藏集 - 掘金

serverless在微店node領(lǐng)域的探索應(yīng)用

js面試題目

掌握 Javascript 類(lèi)型轉(zhuǎn)換：從規(guī)則開(kāi)始

最新活動(dòng)

資訊專(zhuān)欄INFORMATION COLUMN

上云采購(gòu)季！| 2核2G4M爆款云服務(wù)器低至59元/年，更有多臺(tái)、長(zhǎng)期優(yōu)惠，快來(lái)選購(gòu)！

API接口安全性設(shè)計(jì)思路

相關(guān)文章

發(fā)表評(píng)論

0條評(píng)論

男|高級(jí)講師

TA的文章

最新活動(dòng)

上云采購(gòu)季！| 2核2G4M爆款云服務(wù)器低至59元/年，更有多臺(tái)、長(zhǎng)期優(yōu)惠，快來(lái)選購(gòu)！