API接口防重放

背景

• API接口由于需要供第三方服务调用，所以必须暴露到外网，并提供了具体请求地址和请求参数
为了防止被第别有用心之人获取到真实请求参数后再次发起请求获取信息，需要采取很多安全机制；

安全策略

• 1.首先： 需要采用https方式对第三方提供接口，数据的加密传输会更安全，即便是被破解，也需要耗费更多时间
• 2.其次：需要有安全的后台验证机制【本文重点】，达到防参数篡改+防二次请求，防止重放攻击必须要保证请求仅一次有效；

防参数篡改

1. 客户端使用约定好的秘钥对传输参数进行加密，得到签名值signature，并且将签名值也放入请求参数中，发送请求给服务端
2. 服务端接收客户端的请求，然后使用约定好的秘钥对请求的参数（除了signature以外）再次进行签名，得到签名值autograph。
3. 服务端对比signature和autograph的值，如果对比一致，认定为合法请求。如果对比不一致，说明参数被篡改，认定为非法请求。

防二次请求

• 基于timestamp的方案
• 基于nonce的方案
• 基于timestamp和nonce的方案（推荐）