web服务（openAPI)鉴权的一种实现方法、思路

最新推荐文章于 2024-10-01 22:43:11 发布

coding-now

最新推荐文章于 2024-10-01 22:43:11 发布

阅读量6.4k

点赞数

分类专栏： java

本文链接：https://blog.csdn.net/feiyingwang/article/details/49868865

版权

java 同时被 2 个专栏收录

16 篇文章 0 订阅

订阅专栏

分布式服务相关理论

1 篇文章 0 订阅

订阅专栏

1、服务端生成uuid
2、根据uuid生成accessKey ak,把uuid,ak手动提供给调用方，ak的生成过程对客户端代码屏蔽。
3、客户端调用方根据如下方法生成签名sk，参见SecTest.java: public static String genSignature(String ak,String timestamp,String serviceName);
4、服务调用时，提供uuid,ak,timestamp,serviceName,sk
5、服务端首先比较timestamp:时间差控制在一分钟内算合法请求,再根据uuid,timestamp,serviceName生成签名和客户端生成的sk比较是否一致，不一致则非法请求。

这样调用服务时，

1、客户端请求URL不变的情况下，根据timestamp可以控制请求的有效时间，缩小受攻击的时间范围,

如果接口有幂等性要求，则只需要添加幂等性控制逻辑即可，避免了重复调用带来的负面影响。

接口幂等性控制的实现方式有很多，常用方案如下：

1、引入缓存中间件，针对每次的请求，按照一定算法生成input request key,第一次请求，key存入缓存设定有效期，再次请求，判断缓存中key是否存在，存在则重复请求，拒绝处理，不存在则是第一次请求，算法比如Md5,缓存中间件比如redis都是可以的。

2、类似第一种方案，采用token机制，幂等性接口调用之前，必须拿到token,并且token只能用一次，token要具有唯一性，此种方案多了一次接口调用，交互流程复杂，通用性不好。

3、采用db唯一性索引来控制，幂等性关键参数写入一张去重表，成功则接口第一次调用可以继续后续的流程，若db 索引冲突报错，则拒绝。

4、业务表有状态机控制，业务层面控制幂等性，每次状态变更都需要判断当前状态，若当前状态变更了，重复请求则执行失败。

5、业务表提供查询接口，每次操作之前先查询最新状态，符合状态则进行后续流程，否则拒绝。
2、url参数改变的情况，客户端生成的sk 不可能与服务端一致，除非能同时看到客户端、服务端的算法代码。
主要参考资料如下：

[云存储中的HTTP鉴权算法分析](http://itindex.net/detail/47960)

[amazon-signature-v4-examples](http://docs.aws.amazon.com/zh_cn/general/latest/gr/signature-v4-examples.html)

示例代码如下：

 
public class SecTest {
    public static void main(String[] args)throws Exception{
        String time = new Date().getTime()+"";
        String uid = UUID.randomUUID().toString();
        String key = "";
        key = genAccessKey(uid);//
        //提供给客户端的uuid,access-key
        System.out.println("access-uuid:"+uid);
        System.out.println("access-key:"+key);
        //客户端自己生成密钥
        String signature = genSignature(key,time,"/service/method/");
        //服务端生成的密钥
        String sec = getSignatureKey(uid,time,"/service/method/");
        System.out.println("secure-key-from-client:"+signature);
        System.out.println("secure-key-from-server:"+sec);
    }

    private static byte[] hmacSHA256(String data, byte[] key) throws Exception  {
        String algorithm="HmacSHA256";
        Mac mac = Mac.getInstance(algorithm);
        mac.init(new SecretKeySpec(key, algorithm));
        return mac.doFinal(data.getBytes("UTF8"));
    }
    /**
     * 服务端生成，不暴漏给客户端
     * @param uid
     * @return
     * @throws Exception
     */
    public static String genAccessKey(String uid)throws Exception{
        return Hex.encodeHexStr(hmacSHA256(uid,("AWS4"+uid).getBytes("UTF8")));
    }

    /**
     * 客户端 生成验证码
     * @param ak
     * @param serviceName
     * @return
     * @throws Exception
     */
    public static String genSignature(String ak,String ts,String serviceName) throws Exception{
        byte[] kDate = Hex.decodeHex(ak.toCharArray());
        byte[] kRegion  = hmacSHA256(ts, kDate);
        byte[] kService = hmacSHA256(serviceName, kRegion);
        byte[] kSigning = hmacSHA256("aws4_request", kService);
        return Hex.encodeHexStr(kSigning,true);
    }

    /***
     * 服务方 产生验证码
     * @param uuid
     * @param serviceName
     * @return
     * @throws Exception
     */
    public static String getSignatureKey(String uuid,String ts,String serviceName) throws Exception  {
        byte[] kSecret  = ("AWS4" + uuid).getBytes("UTF8");
        byte[] kDate    = hmacSHA256(uuid, kSecret);
        byte[] kRegion  = hmacSHA256(ts, kDate);
        byte[] kService = hmacSHA256(serviceName, kRegion);
        byte[] kSigning = hmacSHA256("aws4_request", kService);
        return  Hex.encodeHexStr(kSigning,true);
    }
}

/**
 * reference apache commons <a * href="http://commons.apache.org/codec/">http://commons.apache.org/codec/</a> * 
 * @author Aub *
 */
public class Hex {
    /**
     * 用于建立十六进制字符的输出的小写字符数组
     */
    private static final char[] DIGITS_LOWER = {'0', '1', '2', '3', '4', '5', '6', '7', '8', '9', 'a', 'b', 'c', 'd', 'e', 'f'};
    /**
     * 用于建立十六进制字符的输出的大写字符数组
     */
    private static final char[] DIGITS_UPPER = {'0', '1', '2', '3', '4', '5', '6', '7', '8', '9', 'A', 'B', 'C', 'D', 'E', 'F'};

    /**
     * 将字节数组转换为十六进制字符数组 * * @param data * byte[] * @return 十六进制char[]
     */

    public static char[] encodeHex(byte[] data) {
        return encodeHex(data, true);
    }

    /**
     * 将字节数组转换为十六进制字符数组
     * * @param data
     * byte[]
     *
     * @param toLowerCase <code>true</code> 传换成小写格式 ， <code>false</code> 传换成大写格式
     * @return 十六进制char[]
     */
    public static char[] encodeHex(byte[] data, boolean toLowerCase) {
        return encodeHex(data, toLowerCase ? DIGITS_LOWER : DIGITS_UPPER);
    }

    /**
     * 将字节数组转换为十六进制字符数组 * * @param data * byte[] * @param toDigits * 用于控制输出的char[]
     *
     * @return 十六进制char[]
     */

    protected static char[] encodeHex(byte[] data, char[] toDigits) {
        int l = data.length;
        char[] out = new char[l << 1];
        // two characters form the hex value.
        for (int i = 0, j = 0; i < l; i++) {
            out[j++] = toDigits[(0xF0 & data[i]) >>> 4];
            out[j++] = toDigits[0x0F & data[i]];
        }
        return out;
    }

    /**
     * 将字节数组转换为十六进制字符串 *
     *
     * @param data * byte[] * @return 十六进制String *
     */
    public static String encodeHexStr(byte[] data) {
        return encodeHexStr(data, true);
    }

    /**
     * 将字节数组转换为十六进制字符串 *
     *
     * @param data * byte[] * @param toLowerCase * <code>true</code> 传换成小写格式 ， <code>false</code> 传换成大写格式
     * @return 十六进制String
     */

    public static String encodeHexStr(byte[] data, boolean toLowerCase) {
        return encodeHexStr(data, toLowerCase ? DIGITS_LOWER : DIGITS_UPPER);
    }

    /**
     * 将字节数组转换为十六进制字符串
     *
     * @param data * byte[] * @param toDigits * 用于控制输出的char[]
     * @return 十六进制String
     */
    protected static String encodeHexStr(byte[] data, char[] toDigits) {
        return new String(encodeHex(data, toDigits));
    }

    /**
     * 将十六进制字符数组转换为字节数组 *
     *
     * @param data * 十六进制char[] * @return byte[]
     * @throws RuntimeException * 如果源十六进制字符数组是一个奇怪的长度，将抛出运行时异常
     */
    public static byte[] decodeHex(char[] data) {
        int len = data.length;
        if ((len & 0x01) != 0) {
            throw new RuntimeException("Odd number of characters.");
        }
        byte[] out = new byte[len >> 1]; // two characters form the hex value.
        for (int i = 0, j = 0; j < len; i++) {
            int f = toDigit(data[j], j) << 4;
            j++;
            f = f | toDigit(data[j], j);
            j++;
            out[i] = (byte) (f & 0xFF);
        }
        return out;
    }

    /**
     * 将十六进制字符转换成一个整数 * * @param ch * 十六进制char * @param index * 十六进制字符在字符数组中的位置
     *
     * @return 一个整数 * @throws RuntimeException * 当ch不是一个合法的十六进制字符时，抛出运行时异常
     */

    protected static int toDigit(char ch, int index) {
        int digit = Character.digit(ch, 16);
        if (digit == -1) {
            throw new RuntimeException("Illegal hexadecimal character " + ch + " at index " + index);
        }
        return digit;
    }
}