基于加密机制的WebService访问与通信安全

(原创文章，转载请注明来源：http://blog.csdn.net/hulihui)

众所周知，WebService访问API是公开的，知道其URL者均可以研究与调用。那么，在只允许注册用户的WebService应用中，如何确保API访问和通信的安全性呢？本文所指的访问与通信安全性包括：

• 访问安全性：当前访问者是注册合法用户
• 通信安全性：客户端与服务器之间的消息即使被第三方窃取也不能解密
  

本文安全的基本思路是：

• 注册用户登录时使用RSA加密
• Web API调用参数使用DES加密（速度快）
• Web API调用中包含一个身份票据Ticket
• Web服务器保存当前Ticket的Session，包括：Ticket、DES加密矢量、注册用户基本信息
  

1 WebService身份验证

确保注册用户的访问安全，需要如下步骤：1）产生一个当前客户端机器票据（Ticket）；2）请求服务器RSA公钥（RSAPublicKey）；3）使用RSA加密登录口令及发布DES加密矢量（DESCipherVector）。

1.1  产生客户端机