对请求的参数进行验签

最新推荐文章于 2024-05-17 18:18:32 发布
最新推荐文章于 2024-05-17 18:18:32 发布
阅读量1.5k 收藏 1
点赞数
文章标签： java
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/activety/article/details/106563457
版权

需求描述：前端发起请求的参数携带sign=xxxx,后台验证签名是够正确

sign签名生成规则：
1.将post请求的body转成jsonstring (按照body里key的自然升序排列)，得到stringA，即: “reqBody= j s o n s t r i n g " 2. 对 字 符 串 s t r i n g A = " r e q B o d y = {jsonstring}" 2.对字符串stringA="reqBody= jsonstring"2.对字符串stringA="reqBody={jsonstring}”, stringB=“cpToken= c p T o k e n " , s t r i n g C = " o e m = {cpToken}", stringC="oem= cpToken",stringC="oem={oem}”, stringD=“oemId= o e m I d " , = s t r i n g E = " t i m e s t a m p = {oemId}",=stringE="timestamp= oemId",=stringE="timestamp={timestamp}”, stringF=“source=${source}”，使用按照字符串的字母升序（a→z）进行排列，获得字符串stringG;、
3.stringG后拼接“&secretKey=Onlineradio”得到StringH
4.对stringH进行BASE64编码得到字符串stringI;
5.对stringI进行MD5运算，并将得到的字符串所有字符转换为大写，得到sign值。
在这里插入图片描述
项目结构
在这里插入图片描述
config类

import org.springframework.boot.web.servlet.FilterRegistrationBean;
import org.springframework.context.annotation.Bean;
import org.springframework.web.servlet.config.annotation.InterceptorRegistration;
import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;
/**
 * @Author: 李浩真
 */
public class config implements WebMvcConfigurer {
    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        //拦截
        InterceptorRegistration registration = registry.addInterceptor(new HttpServletRequestReplacedInterceptor());
        registration.excludePathPatterns("/error");
        registration.addPathPatterns("/v1/**");
        registry.addInterceptor(new HttpServletRequestReplacedInterceptor()).addPathPatterns("/{version}/**");
    }
    @Bean
    public FilterRegistrationBean httpServletRequestReplacedRegistration() {
        FilterRegistrationBean registration = new FilterRegistrationBean();
        registration.setFilter(new HttpServletRequestReplacedFilter());
        registration.addUrlPatterns("/*");
        registration.addInitParameter("paramName", "paramValue");
        registration.setName("httpServletRequestReplacedFilter");
        registration.setOrder(1);
        return registration;
    }
}

HttpServletRequestReplacedFilter类

/**
 * 李浩真
 */
@Component
public class HttpServletRequestReplacedFilter implements Filter {
    @Override
    public void destroy() {
    }

    @Override
    public void doFilter(ServletRequest request, ServletResponse response,
                         FilterChain chain) throws IOException, ServletException {
        ServletRequest requestWrapper = null;
        if(request instanceof HttpServletRequest) {
            requestWrapper = new RequestReaderHttpServletRequestWrapper((HttpServletRequest) request);
        }
        //获取请求中的流如何，将取出来的字符串，再次转换成流，然后把它放入到新request对象中。
        // 在chain.doFiler方法中传递新的request对象
        if(requestWrapper == null) {
            chain.doFilter(request, response);
        } else {
            chain.doFilter(requestWrapper, response);
        }
    }

    @Override
    public void init(FilterConfig arg0) throws ServletException {
    }
}

HttpServletRequestReplacedInterceptor

/**
 * @author 李浩真
 */
@Component
public class HttpServletRequestReplacedInterceptor extends HandlerInterceptorAdapter {

    // 进入控制器之前
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        //判断请求类型
        if (request.getMethod().equals("GET")) {
            return doGet(request, response);
        } else if (request.getMethod().equals("POST")) {
            return doPost(request, response);
        }
        return false;
    }

    /**
     * GET请求
     */
    public Boolean doGet(HttpServletRequest request, HttpServletResponse response) throws IOException {
        //从request获取到所有的参数及其值
        String sign = request.getParameter("sign");
        if (sign == null) {
            returnCode(request, response, sign);
            return false;
        }
        Enumeration<?> pNames = request.getParameterNames();
        Map<String, Object> map = new HashMap<String, Object>();
        while (pNames.hasMoreElements()) {
            String pName = (String) pNames.nextElement();
            Object pValue = request.getParameter(pName);
            map.put(pName, pValue);
        }
        //移除
        map.remove("sign");

        String newSign = SignUtil.createSign(map);

        if (!newSign.equals(sign)) {
            returnCode(request, response, sign);
        }
        return true;
    }

    /**
     * POST请求
     */
    public Boolean doPost(HttpServletRequest request, HttpServletResponse response) throws IOException {
        String bodyString = HttpHelper.getBodyString(request);
        net.sf.json.JSONObject jb = net.sf.json.JSONObject.fromObject(bodyString);
        Map<String, Object> map = (Map<String, Object>) jb;
        String sign = (String) map.get("sign");
        //移除
        map.remove("sign");

        String newSign = SignUtil.createSign(map);

        if (!newSign.equals(sign)) {
            returnCode(request, response, sign);
        }
        return true;
    }

    /**
     * 验证签名方法:失败，返回false
     */
    public boolean returnCode(HttpServletRequest request, HttpServletResponse response, String sign) throws IOException {
        OutputStream out = null;
        try {
            response.setCharacterEncoding("UTF-8");
            response.setContentType("application/json; charset=utf-8");

            net.sf.json.JSONObject res = new JSONObject();
            res.put("success", false);
//            res.put("status code", CommonErrorEnum.SIGNATURE_VERIFICATION_FAILED.getValue());
//            res.put("message", CommonErrorEnum.SIGNATURE_VERIFICATION_FAILED.getShowMessage());
            res.put("status code", "123321");
            res.put("message", "验签失败");
            out = response.getOutputStream();
            out.write(res.toString().getBytes());
        } catch (IOException e) {

            e.printStackTrace();
        } finally {
            out.flush();
            out.close();
        }
        return false;
    }
}

RequestReaderHttpServletRequestWrapper

import com.example.demo.util.HttpHelper;
import javax.servlet.ReadListener;
import javax.servlet.ServletInputStream;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;
import java.io.BufferedReader;
import java.io.ByteArrayInputStream;
import java.io.IOException;
import java.io.InputStreamReader;
import java.nio.charset.Charset;

public class RequestReaderHttpServletRequestWrapper extends HttpServletRequestWrapper {

    private final byte[] body;

    public RequestReaderHttpServletRequestWrapper(HttpServletRequest request) throws IOException {
        super(request);
        body = HttpHelper.getBodyString(request).getBytes(Charset.forName("UTF-8"));
    }

    @Override
    public BufferedReader getReader() throws IOException {
        return new BufferedReader(new InputStreamReader(getInputStream()));
    }

    @Override
    public ServletInputStream getInputStream() throws IOException {

        final ByteArrayInputStream bais = new ByteArrayInputStream(body);

        return new ServletInputStream() {

            @Override
            public int read() throws IOException {
                return bais.read();
            }

            @Override
            public boolean isFinished() {
                return false;
            }

            @Override
            public boolean isReady() {
                return false;
            }

            @Override
            public void setReadListener(ReadListener readListener) {
            }
        };
    }
}

HttpHelper

import javax.servlet.http.HttpServletRequest;
import java.io.BufferedReader;
import java.io.IOException;
import java.io.InputStream;
import java.io.InputStreamReader;
import java.nio.charset.Charset;

/**
 * @author 李浩真
 */
public class HttpHelper {
    public static String getBodyString(HttpServletRequest request) throws IOException {
        StringBuilder sb = new StringBuilder();
        InputStream inputStream = null;
        BufferedReader reader = null;
        try {
            inputStream = request.getInputStream();
            reader = new BufferedReader(new InputStreamReader(inputStream, Charset.forName("UTF-8")));
            String line = "";
            while ((line = reader.readLine()) != null) {
                sb.append(line);
            }
        } catch (IOException e) {
            e.printStackTrace();
        } finally {
            if (inputStream != null) {
                try {
                    inputStream.close();
                } catch (IOException e) {
                    e.printStackTrace();
                }
            }
            if (reader != null) {
                try {
                    reader.close();
                } catch (IOException e) {
                    e.printStackTrace();
                }
            }
        }
        return sb.toString();
    }
}

MD5Util

import java.io.File;
import java.io.FileInputStream;
import java.io.IOException;
import java.io.UnsupportedEncodingException;
import java.nio.ByteBuffer;
import java.nio.channels.FileChannel;
import java.security.MessageDigest;
import java.security.NoSuchAlgorithmException;

/**
 * @author 李浩真
 * MD5工具
 */
public class MD5Util {

    /**
     * 16进制的字符串数组
     */
    private final static String[] HEX_DIGITS_STRINGS = {"0", "1", "2", "3", "4", "5", "6", "7", "8", "9", "a", "b", "c", "d",
            "e", "f"};

    /**
     * 16进制的字符集
     */
    private final static char[] HEX_DIGITS_CHAR = {'0', '1', '2', '3', '4', '5', '6', '7', '8',
            '9', 'A', 'B', 'C', 'D', 'E', 'F'};

    /**
     * MD5加密字符串
     *
     * @param source 源字符串
     * @return 加密后的字符串
     */
    public static String getMD5(String source) {
        String mdString = null;
        if (source != null) {
            try {
                mdString = getMD5(source.getBytes("UTF-8"));
            } catch (UnsupportedEncodingException e) {
                e.printStackTrace();
            }
        }
        return mdString;
    }

    /**
     * MD5加密以byte数组表示的字符串
     *
     * @param source 源字节数组
     * @return 加密后的字符串
     */
    public static String getMD5(byte[] source) {
        String s = null;

        final int temp = 0xf;
        final int arraySize = 32;
        final int strLen = 16;
        final int offset = 4;
        try {
            MessageDigest md = MessageDigest
                    .getInstance("MD5");
            md.update(source);
            byte[] tmp = md.digest();
            char[] str = new char[arraySize];
            int k = 0;
            for (int i = 0; i < strLen; i++) {
                byte byte0 = tmp[i];
                str[k++] = HEX_DIGITS_CHAR[byte0 >>> offset & temp];
                str[k++] = HEX_DIGITS_CHAR[byte0 & temp];
            }
            s = new String(str);
        } catch (Exception e) {
            e.printStackTrace();
        }
        return s;
    }

    /**
     * @param plainText 明文
     * @return 32位密文
     */
    public static String getMD5New(String plainText) {
        String re_md5 = new String();
        try {
            MessageDigest md = MessageDigest.getInstance("MD5");
            md.update(plainText.getBytes());
            byte b[] = md.digest();

            int i;

            StringBuffer buf = new StringBuffer("");
            for (int offset = 0; offset < b.length; offset++) {
                i = b[offset];
                if (i < 0) {
                    i += 256;
                }
                if (i < 16) {
                    buf.append("0");
                }
                buf.append(Integer.toHexString(i));
            }

            re_md5 = buf.toString();

        } catch (NoSuchAlgorithmException e) {
            e.printStackTrace();
        }
        return re_md5;
    }

    /**
     * * 获取文件的MD5值
     *
     * @param file 目标文件
     * @return MD5字符串
     * @throws Exception
     */
    public static String getFileMD5String(File file) throws Exception {
        String ret = "";
        FileInputStream in = null;
        FileChannel ch = null;
        try {
            in = new FileInputStream(file);
            ch = in.getChannel();
            ByteBuffer byteBuffer = ch.map(FileChannel.MapMode.READ_ONLY, 0,
                    file.length());
            MessageDigest messageDigest = MessageDigest.getInstance("MD5");
            messageDigest.update(byteBuffer);
            ret = byteArrayToHexString(messageDigest.digest());
        } catch (IOException e) {
            e.printStackTrace();

        } finally {
            if (in != null) {
                try {
                    in.close();
                } catch (IOException e) {
                    e.printStackTrace();
                }
            }
            if (ch != null) {
                try {
                    ch.close();
                } catch (IOException e) {
                    e.printStackTrace();
                }
            }
        }
        return ret;
    }

    /**
     * * 获取文件的MD5值
     *
     * @param fileName 目标文件的完整名称
     * @return MD5字符串
     * @throws Exception
     */
    public static String getFileMD5String(String fileName) throws Exception {
        return getFileMD5String(new File(fileName));
    }

    /**
     * 加密
     *
     * @param source    需要加密的原字符串
     * @param encoding  指定编码类型
     * @param uppercase 是否转为大写字符串
     * @return
     */
    public static String MD5Encode(String source, String encoding, boolean uppercase) {
        String result = null;
        try {
            result = source;
            // 获得MD5摘要对象
            MessageDigest messageDigest = MessageDigest.getInstance("MD5");
            // 使用指定的字节数组更新摘要信息
            messageDigest.update(result.getBytes(encoding));
            // messageDigest.digest()获得16位长度
            result = byteArrayToHexString(messageDigest.digest());

        } catch (Exception e) {
            e.printStackTrace();
        }
        return uppercase ? result.toUpperCase() : result;
    }


    /**
     * 转换字节数组为16进制字符串
     *
     * @param bytes 字节数组
     * @return
     */
    private static String byteArrayToHexString(byte[] bytes) {
        StringBuilder stringBuilder = new StringBuilder();
        for (byte tem : bytes) {
            stringBuilder.append(byteToHexString(tem));
        }
        return stringBuilder.toString();
    }

    /**
     * * 将字节数组中指定区间的子数组转换成16进制字符串
     *
     * @param bytes 目标字节数组
     * @param start 起始位置（包括该位置）
     * @param end   结束位置（不包括该位置）
     * @return 转换结果
     */
    public static String bytesToHex(byte bytes[], int start, int end) {
        StringBuilder sb = new StringBuilder();
        for (int i = start; i < start + end; i++) {
            sb.append(byteToHexString(bytes[i]));
        }
        return sb.toString();
    }

    /**
     * 转换byte到16进制
     *
     * @param b 要转换的byte
     * @return 16进制对应的字符
     */
    private static String byteToHexString(byte b) {
        int n = b;
        if (n < 0) {
            n = 256 + n;
        }
        int d1 = n / 16;
        int d2 = n % 16;
        return HEX_DIGITS_STRINGS[d1] + HEX_DIGITS_STRINGS[d2];
    }


    /**
     * * 校验密码与其MD5是否一致
     *
     * @param pwd 密码字符串
     * @param md5 基准MD5值
     * @return 检验结果
     */
    public static boolean checkPassword(String pwd, String md5) {
        return getMD5(pwd).equalsIgnoreCase(md5);
    }

    /**
     * * 校验密码与其MD5是否一致
     *
     * @param pwd 以字符数组表示的密码
     * @param md5 基准MD5值
     * @return 检验结果
     */
    public static boolean checkPassword(char[] pwd, String md5) {
        return checkPassword(new String(pwd), md5);
    }


    /**
     * * 检验文件的MD5值
     * @param file 目标文件
     * @param md5  基准MD5值
     * @return 检验结果
     * @throws Exception
     */
    public static boolean checkFileMD5(File file, String md5) throws Exception {
        return getFileMD5String(file).equalsIgnoreCase(md5);
    }

    /**
     * * 检验文件的MD5值
     * @param fileName 目标文件的完整名称
     * @param md5      基准MD5值
     * @return 检验结果
     * @throws Exception
     */
    public static boolean checkFileMD5(String fileName, String md5) throws Exception {
        return checkFileMD5(new File(fileName), md5);
    }
}

SignUtil

/**
 * @author 李浩真
 * 签名与验签工具
 */
@Slf4j
public class SignUtil {

	public static String createSign(Map<String, Object> originMap) {

		if (originMap == null) {
			return null;
		}
		originMap = sortMapByKey(originMap);
		StringBuffer originStr = new StringBuffer();
		for (Map.Entry<String, Object> entry : originMap.entrySet()) {
			originStr.append(entry.getKey() + "=" + entry.getValue());
			originStr.append("&");
		}
		originStr = originStr.append("secretKey=ProjectName");

		return MD5Util.getMD5(Base64.getEncoder().encodeToString(originStr.toString().getBytes(StandardCharsets.UTF_8)));
	}

	public static Map<String, Object> sortMapByKey(Map<String, Object> map) {
		/**
		 * 对Map对象的key升序（a->z）排列
		 */
		if (map == null || map.isEmpty()) {
			return null;
		}
		Map<String, Object> sortMap = new TreeMap<>(Comparator.naturalOrder());
		sortMap.putAll(map);
		return sortMap;
	}
}
activety
关注
等级保护应用安全规范：对接口的请求参数进行签名校验（参数按照ASCII码从小到大排序、拼接、加密）
iOS逆向与安全
01-02 640
参数按照ASCII码从小到大排序、拼接、加密（采用递归的方式进行实现。如果添加 属性 记得 修改set get里面 map的 大小。
关于参数签名的总结
持之以恒
04-18 8423
刚刚工作2~3年，我们搞java或是php(这里省略很多语言)开发年轻人，前几年开发的时候总会碰到一些和第三方对接的任务，例如第三方交易的支付宝、微信(心累，文档里面有很多排序和参数大小写错误的问题)，再或是聊天软件的融云、环信，再或是地图的高德等。 他们虽然说大部分功能都提供SDK，简化接入者的工作量，让接入者只关系调用(自己只需要组织业务)，不需要太过关心安全方面的问题，但是有些功能(接口)还
参数校验 验签
global_coding的博客
03-25 466
//service层 public class ApiServiceImpl{ public Map<String,Object> query(DTO dto){ Map<String,Object> result = new HashMap<String,Object>(); result.put("resultCode",StatusCode.SUCCESS); result.put("resultMsg","查询成功"); //参数校验(通常
Jmeter接口测试-MD5加密-请求验签（完整流程）
01-04 1375
第一部分：先准备好Jmeter 1.在开始编写脚本之前，先要确保你的Jmeter能够正常运行。若你还没有安装Jmeter，可参考以下方法： A.Jmeter需要java运行环境，所以需要下载JDK，JDK下载地址：https://www.oracle.com/technetwork/java/javase/downloads/index.html （最好使用 JDK 8 以...
使用RSA、MD5对参数生成签名与验签
盐汽水的博客
08-12 8240
在日常的工作中，我们对外提供的接口或调用三方的接口往往有一步生成签名或验签的步骤，这个步骤主要是验证调用方是 不是合法的以及内容是否被修改。比如：对于某些网上公开下载的软件，视频，尤其是镜像文件。如果被修改了可能会导致用不了 或者其他的问题，发布者镜像MD5算法计算一组数值。让下载的用户进行MD5数值对比，也就是MD5校验啦。由于MD5加密不可逆算， 如果数值一样，那就表示文
vue实现对请求参数进行签名
qq_49278026的博客
07-23 2897
vue中使用axios的请求拦截器对请求参数进行签名，防止请求被拦截后篡改请求参数，造成非法操作。
微信小程序request请求封装，验签代码实例
10-15
验签通常会使用到签名算法，比如HMAC、RSA等，通过算法对请求参数进行加密生成签名，并在请求时将签名一并发送给服务器。服务器端接收到请求后，对请求参数重新生成签名，然后与客户端发送的签名进行对比，如果一致...
java 请求参数 加签名_Java HTTP POST请求，接口参数加签，验签的操作方法
weixin_31704137的博客
02-13 1682
importorg.apache.commons.lang3.StringUtils;importorg.apache.commons.lang3.time.FastDateFormat;importorg.slf4j.Logger;importorg.slf4j.LoggerFactory;importjava.lang.management.ManagementFactory;importja...
springmvc拦截器对请求参数解密_SpringMVC请求参数和响应结果全局加密和解密
weixin_28843135的博客
01-16 2151
前提前段时间在做一个对外的网关项目，涉及到加密和解密模块，这里详细分析解决方案和适用的场景。为了模拟真实的交互场景，先定制一下整个交互流程。第三方传输(包括请求和响应)数据报文包括三个部分：1、timestamp，long类型，时间戳。2、data，String类型，实际的业务请求数据转化成的Json字符串再进行加密得到的密文。3、sign，签名，生成规则算法伪代码是SHA-256(data=xx...
使用RSA、MD5对参数生成签名及接收方验签
08-05
使用RSA、MD5对参数生成签名及接收方验签
支付宝当面付相关验签参数获取步骤
02-09
支付宝当面付相关验签参数获取步骤
接口参数签名验证
U2133048的博客
03-29 1066
与第三方对接时，会存在请求参数是否被篡改的问题，这时，我们就得进行接口签名验证，防止请求参数被篡改进而影响请求结果。 参数签名算法： 1、请求参数名的字母按照升序进行非空排列，使用URL键值对的格式（key1=value1&key=value2...）,拼接成字符串stringA； 如：请求参数{alterFld=null,reqTm=29, characterSet=00, onStationId=262019}，排列之后stringA={characterSet=00&onStat
将请求参数组装成待验签的字符串
weixin_33981932的博客
06-28 183
2019独角兽企业重金招聘Python工程师标准>>> ...
http接口开发请求参数签名实用工具类
动感超人的专栏
06-07 8868
作用： http接口开发请求参数签名实用工具类， 在http接口对参数做签名，防止接口被非法调用
Gateway网关参数进行验签POST 包含requestbody 请求体封装
LMC技术人生专栏
05-25 2628
Gateway网关自定义拦截器的不可重复读取数据问题_java 对get post请求的参数进行验签 排序所有参数验签
使用golang实现对请求签名和验签
zhanglehes的专栏
12-15 7482
概要 签名的作用是识别请求的发起者，通常对未通过签名验证的发起者不做业务处理。基础知识可以参考 -- https://zhuanlan.zhihu.com/p/384595092 整个流程分为两部：请求的发起者按照一定算法进行签名，服务器接收到请求后会根据请求体中所带参数以及对应的签名算法进行验签。 通常使用golang实现请求签名有两种方法，一是rsa签名，二是md5签名。Rsa签名是一种非对称的签名方式，相反md5签名是一种对称签名的方式。 一般来说使用rsa签名的保密性会更高（通过后面介绍的实
绕过接口参数签名验证
07-11 2810
在一些关键业务接口，系统通常会对请求参数进行签名验证，一旦篡改参数服务端就会提示签名校验失败。在黑盒渗透过程中，如果没办法绕过签名校验，那么就无法进一步深入。微信小程序的前端代码很容易被反编译，一旦签名加密算法和密钥暴漏，找到参数的排序规则，那么就可以篡改任意数据并根据算法伪造签名。下面我们将通过两个简单的小程序参数签名绕过的案例，来理解签名逆向的过程。01、常见签名算法...
Java优雅的实现参数校验
最新发布
weixin_51779902的博客
05-17 2128
JSR是Java Specification Requests的缩写，意思是Java 规范提案。是指向JCP(Java Community Process)提出新增一个标准化技术规范的正式请求。任何人都可以提交JSR，以向Java平台增添新的API和服务。
http请求ak、sk验签
07-27
4. 将AK（Access Key）和其他请求参数一同发送到服务器端。 5. 服务器端接收到请求后，使用相同的验签逻辑进行验证。首先，按照相同的规则对参数进行排序并拼接；然后，将拼接好的字符串再加上SK；最后，使用相同的...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值