开发对外接口注意事项

1、客户端请求加密、服务端请求解密

2、防止重复提交

     一般是在数据库加状态，在 status=0 的状态下更新，更新完状态变为1，这样就可以防止重复提交

---------------------------------------------------------------------------------

签名基本原理是通过 key/secret 的实现：
1, 服务器负责为每个客户端生成一对 key/secret （ key/secret 没有任何关系，不能相互推算），保存，并告知客户端。
2, 当客户端调用 api 时，根据某种规则将所有请求参数串联起来并用 secret 生成签名 sign 。
3, 将 sign 和 key 一起放进请求参数对服务器进行调用。（注意 secret 不要传）
4, 服务端收到请求，根据 key 去查 secret ，然后用同样的算法，验证签名。
5, 为避免重放攻击，可加上 timestamp 参数，指明客户端调用的时间。服务端在验证请求时若 timestamp 超过允许误差则直接返回错误。

---------------------------------------------------------------------------------------------------------

签名算法过程：

1.对除签名外的所有请求参数按key做的升序排列,value无需编码。
 （假设当前时间的时间戳是12345678）

例如：有c=3,b=2,a=1 三个参，另加上时间戳后， 按key排序后为：a=1，b=2，c=3，_timestamp=12345678。

2 把参数名和参数值连接成字符串，得到拼装字符：a1b2c3_timestamp12345678

3 用申请到的appkey 连接到接拼装字符串头部和尾部，然后进行32位MD5加密，最后将到得MD5加密摘要转化成大写。

示例：假设appkey=test，md5(testa1b2c3_timestamp12345678test)，取得MD5摘要值 C5F3EB5D7DC2748AED89E90AF00081E6 。

------------------------------------------------------------------------------------

 总结：

接口调用方和接口提供方约定好统一的参数加密算法
接口调用方在调用时把加密后的_sign放在参数中去请求接口
接口提供方接到响应后，判断时间戳是不是在有效时间内（这个时间间隔根据你的安全范围可以是10分钟，5分钟，20秒等，过期失效，前提是需要保证接口提供方和调用方的服务器时间为准确的网络同步时间）
把参数中除了_sign以外的参数进行加密，然后把加密结果和传过来的_sign比较，相同则执行调用请求。
--------------------- 
作者：dxp33 
来源：CSDN 
原文：https://blog.csdn.net/douxingpeng1/article/details/81711456