当前位置: 首页 > news >正文

湖州市城乡建设局网站网络营销与直播电商好就业吗

湖州市城乡建设局网站,网络营销与直播电商好就业吗,2017网站建设,网站建设栏目为什么要保证接口安全对于互联网来说,只要你系统的接口暴露在外网,就避免不了接口安全问题。 如果你的接口在外网裸奔,只要让黑客知道接口的地址和参数就可以调用,那简直就是灾难。举个例子:你的网站用户注册的时候&am…

为什么要保证接口安全

对于互联网来说,只要你系统的接口暴露在外网,就避免不了接口安全问题。 如果你的接口在外网裸奔,只要让黑客知道接口的地址和参数就可以调用,那简直就是灾难。

举个例子:你的网站用户注册的时候,需要填写手机号,发送手机验证码,如果这个发送验证码的接口没有经过特殊安全处理,那这个短信接口早就被人盗刷不知道浪费多少钱了。

那如何保证接口安全呢?

一般来说,暴露在外网的api接口需要做到防篡改防重放才能称之为安全的接口。

防篡改

我们知道http 是一种无状态的协议,服务端并不知道客户端发送的请求是否合法,也并不知道请求中的参数是否正确。

举个例子, 现在有个充值的接口,调用后可以给用户增加对应的余额。

http://localhost/api/user/recharge?user_id=1001&amount=10

如果非法用户通过抓包获取到接口参数后,修改user_id 或 amount的值就可以实现给任意账户添加余额的目的。

如何解决

采用https协议可以将传输的明文进行加密,但是黑客仍然可以截获传输的数据包,进一步伪造请求进行重放攻击。如果黑客使用特殊手段让请求方设备使用了伪造的证书进行通信,那么https加密的内容也会被解密。

一般的做法有2种:

  1. 采用https方式把接口的数据进行加密传输,即便是被黑客破解,黑客也花费大量的时间和精力去破解。

  1. 接口后台对接口的请求参数进行验证,防止被黑客篡改;

  • 步骤1:客户端使用约定好的秘钥对传输的参数进行加密,得到签名值sign1,并且将签名值也放入请求的参数中,发送请求给服务端

  • 步骤2:服务端接收到客户端的请求,然后使用约定好的秘钥对请求的参数再次进行签名,得到签名值sign2。

  • 步骤3:服务端比对sign1和sign2的值,如果不一致,就认定为被篡改,非法请求。

防重放

防重放也叫防复用。简单来说就是我获取到这个请求的信息之后什么也不改,,直接拿着接口的参数去 重复请求这个充值的接口。此时我的请求是合法的, 因为所有参数都是跟合法请求一模一样的。重放攻击会造成两种后果:

  1. 针对插入数据库接口:重放攻击,会出现大量重复数据,甚至垃圾数据会把数据库撑爆。

  1. 针对查询的接口:黑客一般是重点攻击慢查询接口,例如一个慢查询接口1s,只要黑客发起重放攻击,就必然造成系统被拖垮,数据库查询被阻塞死。

对于重放攻击一般有两种做法:

基于timestamp的方案

每次HTTP请求,都需要加上timestamp参数,然后把timestamp和其他参数一起进行数字签名。因为一次正常的HTTP请求,从发出到达服务器一般都不会超过60s,所以服务器收到HTTP请求之后,首先判断时间戳参数与当前时间比较,是否超过了60s,如果超过了则认为是非法请求。

一般情况下,黑客从抓包重放请求耗时远远超过了60s,所以此时请求中的timestamp参数已经失效了。 如果黑客修改timestamp参数为当前的时间戳,则sign1参数对应的数字签名就会失效,因为黑客不知道签名秘钥,没有办法生成新的数字签名。

但是这种方式的漏洞也是显而易见,如果在60s之内进行重放攻击,那就没办法了,所以这种方式不能保证请求仅一次有效。

老鸟们一般会采取下面这种方案,既可以解决接口重放问题,又可以解决一次请求有效的问题。

基于nonce + timestamp 的方案

nonce的意思是仅一次有效的随机字符串,要求每次请求时该参数要保证不同。实际使用用户信息+时间戳+随机数等信息做个哈希之后,作为nonce参数。

此时服务端的处理流程如下:

  1. 去 redis 中查找是否有 key 为 nonce:{nonce} 的 string

  1. 如果没有,则创建这个 key,把这个 key 失效的时间和验证 timestamp 失效的时间一致,比如是 60s。

  1. 如果有,说明这个 key 在 60s 内已经被使用了,那么这个请求就可以判断为重放请求。

这种方案nonce和timestamp参数都作为签名的一部分传到后端,基于timestamp方案可以让黑客只能在60s内进行重放攻击,加上nonce随机数以后可以保证接口只能被调用一次,可以很好的解决重放攻击问题。

代码实现

接下来以SpringBoot项目为例看看如何实现接口的防篡改和防重放功能。

1、构建请求头对象

@Data
@Builder
public class RequestHeader {private String sign ;private Long timestamp ;private String nonce;
}

2、工具类从HttpServletRequest获取请求参数

@Slf4j
@UtilityClass
public class HttpDataUtil {/*** post请求处理:获取 Body 参数,转换为SortedMap** @param request*/public  SortedMap<String, String> getBodyParams(final HttpServletRequest request) throws IOException {byte[] requestBody = StreamUtils.copyToByteArray(request.getInputStream());String body = new String(requestBody);return JsonUtil.json2Object(body, SortedMap.class);}
​
​/*** get请求处理:将URL请求参数转换成SortedMap*/public static SortedMap<String, String> getUrlParams(HttpServletRequest request) {String param = "";SortedMap<String, String> result = new TreeMap<>();
​if (StringUtils.isEmpty(request.getQueryString())) {return result;}
​try {param = URLDecoder.decode(request.getQueryString(), "utf-8");} catch (UnsupportedEncodingException e) {e.printStackTrace();}
​String[] params = param.split("&");for (String s : params) {String[] array=s.split("=");result.put(array[0], array[1]);}return result;}
}

这里的参数放入SortedMap中对其进行字典排序,前端构建签名时同样需要对参数进行字典排序。

3、签名验证工具类

@Slf4j
@UtilityClass
public class SignUtil {/*** 验证签名* 验证算法:把timestamp + JsonUtil.object2Json(SortedMap)合成字符串,然后MD5*/@SneakyThrowspublic  boolean verifySign(SortedMap<String, String> map, RequestHeader requestHeader) {String params = requestHeader.getNonce() + requestHeader.getTimestamp() + JsonUtil.object2Json(map);return verifySign(params, requestHeader);}
​/*** 验证签名*/public boolean verifySign(String params, RequestHeader requestHeader) {log.debug("客户端签名: {}", requestHeader.getSign());if (StringUtils.isEmpty(params)) {return false;}log.info("客户端上传内容: {}", params);String paramsSign = DigestUtils.md5DigestAsHex(params.getBytes()).toUpperCase();log.info("客户端上传内容加密后的签名结果: {}", paramsSign);return requestHeader.getSign().equals(paramsSign);}
}

4、HttpServletRequest包装类

public class SignRequestWrapper extends HttpServletRequestWrapper {//用于将流保存下来private byte[] requestBody = null;
​public SignRequestWrapper(HttpServletRequest request) throws IOException {super(request);requestBody = StreamUtils.copyToByteArray(request.getInputStream());}
​@Overridepublic ServletInputStream getInputStream() throws IOException {final ByteArrayInputStream bais = new ByteArrayInputStream(requestBody);
​return new ServletInputStream() {@Overridepublic boolean isFinished() {return false;}
​@Overridepublic boolean isReady() {return false;}
​@Overridepublic void setReadListener(ReadListener readListener) {
​}
​@Overridepublic int read() throws IOException {return bais.read();}};
​}
​@Overridepublic BufferedReader getReader() throws IOException {return new BufferedReader(new InputStreamReader(getInputStream()));}
}

防篡改和防重放我们会通过SpringBoot Filter来实现,而编写的filter过滤器需要读取request数据流,但是request数据流只能读取一次,需要自己实现HttpServletRequestWrapper对数据流包装,目的是将request流保存下来。

5、创建过滤器实现安全校验

@Configuration
public class SignFilterConfiguration {@Value("${sign.maxTime}")private String signMaxTime;
​//filter中的初始化参数private Map<String, String> initParametersMap =  new HashMap<>();
​@Beanpublic FilterRegistrationBean contextFilterRegistrationBean() {initParametersMap.put("signMaxTime",signMaxTime);FilterRegistrationBean registration = new FilterRegistrationBean();registration.setFilter(signFilter());registration.setInitParameters(initParametersMap);registration.addUrlPatterns("/sign/*");registration.setName("SignFilter");// 设置过滤器被调用的顺序registration.setOrder(1);return registration;}
​@Beanpublic Filter signFilter() {return new SignFilter();}
}
@Slf4j
public class SignFilter implements Filter {@Resourceprivate RedisUtil redisUtil;
​//从fitler配置中获取sign过期时间private Long signMaxTime;
​private static final String NONCE_KEY = "x-nonce-";
​@Overridepublic void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {HttpServletRequest httpRequest = (HttpServletRequest) servletRequest;HttpServletResponse httpResponse = (HttpServletResponse) servletResponse;
​log.info("过滤URL:{}", httpRequest.getRequestURI());
​HttpServletRequestWrapper requestWrapper = new SignRequestWrapper(httpRequest);//构建请求头RequestHeader requestHeader = RequestHeader.builder().nonce(httpRequest.getHeader("x-Nonce")).timestamp(Long.parseLong(httpRequest.getHeader("X-Time"))).sign(httpRequest.getHeader("X-Sign")).build();
​//验证请求头是否存在if(StringUtils.isEmpty(requestHeader.getSign()) || ObjectUtils.isEmpty(requestHeader.getTimestamp()) || StringUtils.isEmpty(requestHeader.getNonce())){responseFail(httpResponse, ReturnCode.ILLEGAL_HEADER);return;}
​/** 1.重放验证* 判断timestamp时间戳与当前时间是否操过60s(过期时间根据业务情况设置),如果超过了就提示签名过期。*/long now = System.currentTimeMillis() / 1000;
​if (now - requestHeader.getTimestamp() > signMaxTime) {responseFail(httpResponse,ReturnCode.REPLAY_ERROR);return;}
​//2. 判断nonceboolean nonceExists = redisUtil.hasKey(NONCE_KEY + requestHeader.getNonce());if(nonceExists){//请求重复responseFail(httpResponse,ReturnCode.REPLAY_ERROR);return;}else {redisUtil.set(NONCE_KEY+requestHeader.getNonce(), requestHeader.getNonce(), signMaxTime);}
​
​boolean accept;SortedMap<String, String> paramMap;switch (httpRequest.getMethod()){case "GET":paramMap = HttpDataUtil.getUrlParams(requestWrapper);accept = SignUtil.verifySign(paramMap, requestHeader);break;case "POST":paramMap = HttpDataUtil.getBodyParams(requestWrapper);accept = SignUtil.verifySign(paramMap, requestHeader);break;default:accept = true;break;}if (accept) {filterChain.doFilter(requestWrapper, servletResponse);} else {responseFail(httpResponse,ReturnCode.ARGUMENT_ERROR);return;}
​}
​private void responseFail(HttpServletResponse httpResponse, ReturnCode returnCode)  {ResultData<Object> resultData = ResultData.fail(returnCode.getCode(), returnCode.getMessage());WebUtils.writeJson(httpResponse,resultData);}
​@Overridepublic void init(FilterConfig filterConfig) throws ServletException {String signTime = filterConfig.getInitParameter("signMaxTime");signMaxTime = Long.parseLong(signTime);}
}

6、Redis工具类

@Component
public class RedisUtil {@Resourceprivate RedisTemplate<String, Object> redisTemplate;
​/*** 判断key是否存在* @param key 键* @return true 存在 false不存在*/public boolean hasKey(String key) {try {return Boolean.TRUE.equals(redisTemplate.hasKey(key));} catch (Exception e) {e.printStackTrace();return false;}}
​
​/*** 普通缓存放入并设置时间* @param key   键* @param value 值* @param time  时间(秒) time要大于0 如果time小于等于0 将设置无限期* @return true成功 false 失败*/public boolean set(String key, Object value, long time) {try {if (time > 0) {redisTemplate.opsForValue().set(key, value, time, TimeUnit.SECONDS);} else {set(key, value);}return true;} catch (Exception e) {e.printStackTrace();return false;}}
​/*** 普通缓存放入* @param key   键* @param value 值* @return true成功 false失败*/public boolean set(String key, Object value) {try {redisTemplate.opsForValue().set(key, value);return true;} catch (Exception e) {e.printStackTrace();return false;}}
​
}
http://www.15wanjia.com/news/18129.html

相关文章:

  • 自己做网站需要什么软件下载seo是指什么岗位
  • 网站备案完了怎么做百度竞价什么意思
  • 什么网站可以做网站友情链接可以随便找链接加吗
  • php mysql网站开发全程实例.pdf中超最新积分榜
  • 做宣传图片用什么网站必应搜索引擎下载
  • 专门做微信推送的网站论坛优化seo
  • 重庆高端网站seowhois查询
  • 泉州免费建站查指数
  • 网站首页怎么做营销型网站模板
  • 网站 东莞长安企业宣传推广方案
  • 网站站内搜索代码长春建站程序
  • 域名注册 网站建设 好做吗torrent种子搜索引擎
  • 潍坊网站建设首荐创美网络世界网站排名查询
  • 搜索引擎手机动态网站制作设计百度灰色关键词排名
  • 沧州市做网站价格怎么做网上销售
  • 网站友情链接是什么天津seo数据监控
  • 网站建设技个人如何优化网站有哪些方法
  • 公司主营业务网站建设德阳seo优化
  • 一个网站有哪些优势贵阳网站建设公司
  • 晾衣架 东莞网站建设企业seo推广
  • 网站什么时候做负载均衡推广自己的网站
  • 女式包包网站建设策划书企业关键词优化专业公司
  • 江苏兴力建设集团有限公司网站现在阳性最新情况
  • 平面设计软件排行南宁seo全网营销
  • 建设银行网站无法转账长沙专业网络推广公司
  • 铁岭做网站哪家好营销策略包括哪些方面
  • 电子商务网站建设应用技术手机优化游戏性能的软件
  • 做外贸网站要有域名seo赚钱培训课程
  • wordpress添加优酷视频播放seo怎么快速提高排名
  • 自动生成图片的网站今日新闻7月1日