接口安全问题

跨站请求伪造问题



目前：我们使用请求头的token(口令)去代表一个用户，每次请求服务器都会携带token去标识用户



接口路径+请求头的token+请求体 ，这三个要素构成了一个基本的请求报文



场景：

1、A用抓包工具，通过分析请求和响应，大致猜到我们的接口格式。

2、A在门店附近代理了一个wifi热点，扩大抓包范围，获取到了许多用户的合法token

3、A从步骤2中，获取到了合法token后，开始伪装成正常用户并用自己的服务器进行下单请求，导致门店无法正常服务





解决办法：



顺丰方案：

https://open.7debao.com/7?page_id=100

微信方案：

https://pay.weixin.qq.com/wiki/doc/api/wxa/wxa_api.php?chapter=4_3







1、服务器用用私钥将秘钥加密发给前端一段字符串

2、前端使用公钥将字符串解密成秘钥

3、对接口路径URL，请求头token，请求体（JSON字符串格式） ,随机值 ，再加上秘钥进行MD5计算得到签名

4、服务器接收请求时，也对接口路径URL，请求头token，请求体（JSON字符串格式） ,随机值 ，再加上秘钥进行MD5计算，看看服务端计算的签名是否和前端给的签名匹配，不匹配就拒绝请求



关键在于：前端的秘钥和签名计算方法不能让A知道





重放攻击问题



场景

1、A发现自己计算不出签名，但他能抓包到别人合法的请求

2、A拿别人合法的请求，原封不动的请求服务器





解决办法：

1、接口增加流水号，一个流水号代表一个请求

2、发现该流水号短时间频繁请求时，将其加入黑名单