接口安全之签名

原创 2016年06月01日 13:49:13

1.   接口请求采用https的post方式,返回信息全部采用json格式报文。

2.   请求和返回报文双方约定采用UTF-8编码,并对请求参数做URLEncoder。

3.   签名规则(签名在URLEncoder之前做。)

4.   商户密钥  207b6c6843a20c4acf7e8583b9d463c6

签名规则:

第1步: 

将所有参数(注意是所有参数),除去sign本身,以及值是空的参数,按参数名字母升序排序。
第2步: 

然后把排序后的参数按参数1值1参数2值2…参数n值n(这里的参数和值必须是传输参数的原始值,不能是经过处理的,如不能将"转成”后再拼接)的方式拼接成一个字符串。
第3步: 

把分配给接入方的验证密钥key拼接在第2步得到的字符串前面。
第4步:

 在上一步得到的字符串后面加上商户密钥 (接口提供方分配给接口接入方的),然后计算md5值,得到32位字符串
第5步: 

将第4步得到的 字符串转成大写,得到的字符串作为sign的值。

举例:
假设传输的数据是http://localhost:3333/viptrip365/interface/common/login.hlt?sign=sign_value&imei=4324&os=423&os_version=423&app_version=432&ver=423&uid=13&time_stamp=&userName=15501108967&pwd=123456(实际情况最好是通过post方式发送),
其中sign参数对应的sign_value就是签名的值。


第一步,拼接字符串,首先去除sign参数本身,然后去除值是空的参数time_stamp,剩下imei=4324&os=423&os_version=423&app_version=432&ver=423&uid=13&userName=15501108967&pwd=12345,

然后按参数名字符升序排序得到
app_version=432imei=4324os=423os_version=423pwd=123456uid=13userName=15501108967ver=423

第二步,然后做参数名和值的拼接,最后得到app_version432imei4324os423os_version423pwd123456uid13userName15501108967ver423

第三步,在上面拼接得到的字符串后加上商户密钥,md5(签名+密钥)得到新的字符串af538d756f3df274081eeedee1dca593


第四步,然后将这个字符然后转为大写,得到AF538D756F3DF274081EEEDEE1DCA593这个值即为sign签名值。

二、签名验证方法:
根据前面描述的签名参数sign生成的方法规则,计算得到参数的签名值,和参数中通知过来的sign对应的参数值进行对比,如果是一致的,那么就校验通过,如果不一致,说明参数被修改过。


URLEncoder:

转码前

sign=AF538D756F3DF274081EEEDEE1DCA593&imei=2143124&os=%25E8%258B%25B9%25E6%259E%259C&

os_version=3.5+%25E6%25B5%258B%25E8%25AF%2595%25E7%2589%2588&app_version=1223&ver=3213

&uid=1232&time_stamp=2015-02-03&userName=15501108967&pwd=123456

转码后

sign%3D54D0B42DD9899B15A8EBE77CB6BBEB73%26imei%3D%25E8%258B%25B9%25E6%259E%

259C%26os%3D123%2B%26os_version%3D%25E6%25B5%258B%25E8%25AF%25951%26app_version%3D

1232%26ver%3D123.%26uid%3D111%26time_stamp%3D2016-05-27%26userName%3D15501108967%

26pwd%3D123456

HTTP对外接口,如何增加签名机制

接口开发是各系统之间对接的重要方式,其数据是通过开放的互联网传输,对数据的安全性要有一定要求。为了提高传输过程参数的防篡改性,签名sign的方式是目前比较常用的方式。 我这里介绍一种方式,是目前国内...
  • ahjxhy2010
  • ahjxhy2010
  • 2016年01月22日 09:28
  • 2089

接口签名认证思路

列子: 登陆接口 一、调用接口方 需要给接口传  两个 参数 1、签名认证:  sign 签名认证->  将html接过来的的数组进行排序 然后 转换成json串,将json串MD5加...
  • ztblog
  • ztblog
  • 2016年09月19日 14:03
  • 971

App开放接口api安全性—Token签名sign的设计与实现

前言        在app开放接口api的设计中,避免不了的就是安全性问题,因为大多数接口涉及到用户的个人信息以及一些敏感的数据,所以对这些接口需要进行身份的认证,那么这就需要用户提供一些信息,比如...
  • fengshizty
  • fengshizty
  • 2015年09月27日 17:44
  • 39407

如何写出安全的API接口?接口参数加密签名设计思路

开发中经常用到接口,尤其是在面向服务的soa架构中,数据交互全是用的接口。                几年以前我认为,我写个接口,不向任何人告知我的接口地址,我的接口就是安全的,现在回想真是...
  • dz45693
  • dz45693
  • 2016年12月14日 11:55
  • 7245

App开放接口api安全性—Token签名sign的设计与实现

前言        在app开放接口api的设计中,避免不了的就是安全性问题,因为大多数接口涉及到用户的个人信息以及一些敏感的数据,所以对这些接口需要进行身份的认证,那么这就需要用户提供一些信息...
  • renjianhhong
  • renjianhhong
  • 2017年07月10日 20:28
  • 691

使用RSA、MD5对参数生成签名与验签

在日常的工作中,我们对外提供的接口或调用三方的接口往往有一步生成签名或验签的步骤,这个步骤主要是验证调用方是不是合法的以及内容是否被修改。比如:对于某些网上公开下载的软件,视频,尤其是镜像文件。如果被...
  • Mr_Smile2014
  • Mr_Smile2014
  • 2016年08月05日 16:55
  • 14073

签名参数sign生成说明-tencent

来源: http://wiki.open.qq.com/wiki/%E7%AD%BE%E5%90%8D%E5%8F%82%E6%95%B0sign%E7%94%9F%E6%88%90%E8%AF%B4...
  • aosica321
  • aosica321
  • 2017年01月16日 12:03
  • 1509

请教淘宝API sign签名问题,望高人指点!谢谢!

请教淘宝API sign签名问题
  • qwestw
  • qwestw
  • 2014年05月29日 19:40
  • 5180

App开放接口api安全性—Token签名sign的设计与实现

前言       在app开放接口api的设计中,避免不了的就是安全性问题,因为大多数接口涉及到用户的个人信息以及一些敏感的数据,所以对这些接口需要进行身份的认证,那么这就需要用户提供一些信息,比如用...
  • qq_36373262
  • qq_36373262
  • 2017年03月08日 13:51
  • 1536

webapi token、参数签名是如何生成的

API接口保障安全性原则:1.有调用者身份2.请求的唯一性3.请求的参数不能被篡改...
  • kebi007
  • kebi007
  • 2017年06月06日 00:53
  • 4499
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:接口安全之签名
举报原因:
原因补充:

(最多只允许输入30个字)