Java实现接口防篡改

已于 2022-05-06 15:31:50 修改
阅读量3.6k 收藏 31
点赞数 11
分类专栏： Java spring boot 文章标签： java spring boot
于 2022-05-06 09:06:49 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/javaeEEse/article/details/124593488
版权

文章目录

一、定义

在客户端与服务端请求交互的过程中，请求的数据容易被拦截并篡改，比如在支付场景中，请求支付金额为 10 元，被拦截后篡改为 100 元，由于没有防篡改校验，导致多支付了金钱，造成了用户损失。因此我们在接口设计时必须考虑防篡改校验，加签、验签就是用来解决这个问题的。划重点，敲黑板：加签、验签是用来解决防篡改问题的。

签名主要包含摘要和非对称加密两部分内容，首先对需要签名的数据进行摘要计算得到摘要值，然后通过签名者的私钥对摘要值进行非对称加密即可得到签名结果。

验签主要包含摘要、非对称解密、摘要比对三部分内容，首页对接收到的数据进行摘要计算得到验签方摘要值，然后通过签名者的公钥对摘要值进行非对称解密得到签名方摘要值，将签名方摘要值与验签方摘要值进行比对，如果相等则验签成功，否则验签失败。

二、签名

1、参数排序
将需要签名的内容根据参数名称进行排序，排序规则按照第一个字符的ASCII码值递增排序（字母升序排序），如果遇到相同字符则按照第二个字符的ASCII码递增排序，以此类推。将参数内容进行排序，可以保证签名、验签双方参数内容的一致性。

为什么会产生不一致？

签名方以 Json 格式将参数内容发送给验签方，验签方需要将 Json 格式的参数内容反序列化为对象，由于验签方可能使用不同的编程语言，不同的 Json 框架，所以会导致双方的参数顺序不一致。

2、参数拼接
将排序后的参数与其对应值，组合成“参数=参数值”的格式，并且把这些参数用&字符连接起来，此时生成的字符串为待摘要字符串。

3、摘要计算
通过摘要算法求待摘要字符串的摘要值，常用的摘要算法如MD5、SHA、HMAC等。

4、非对称加密
使用非非对称加密算法，利用客户端的私钥对摘要值进行加密，生成内容我们称之为签名。

5、发送请求
将参数内容、字符编码、签名方法（非对称加密算法）、签名发送给验签方。

验签
验签方收到请求后进行验签。

三、相应工具类

1、SHA256Util加密算法工具类:

public class SHA256Util {

    /**
     * @param str 加密前的报文
     * @Author: Mr.ZJW
     * @Description: 用java原生的摘要实现SHA256加密
     * @Date: 2022/5/5 14:14
     **/
    public static String getSHA256String(String str) {
        String encodeStr = "";
        try {
            MessageDigest messageDigest = MessageDigest.getInstance("SHA-256");
            messageDigest.update(str.getBytes("UTF-8"));
            encodeStr = byte2Hex(messageDigest.digest());
        } catch (NoSuchAlgorithmException e) {
            e.printStackTrace();
        } catch (UnsupportedEncodingException e) {
            e.printStackTrace();
        }
        return encodeStr;
    }

    /**
     * @param [bytes]
     * @Author: Mr.ZJW
     * @Description: byte[]转为16进制
     * @Date: 2022/5/5 14:15
     **/
    private static String byte2Hex(byte[] bytes) {
        StringBuffer stringBuffer = new StringBuffer();
        for (int i = 0; i < bytes.length; i++) {
            String temp = Integer.toHexString(bytes[i] & 0xFF);
            if (temp.length() == 1) {
                stringBuffer.append("0");
            }
            stringBuffer.append(temp);
        }
        return stringBuffer.toString();
    }
}

2、生产签名工具类

/**
 * @Author: Mr.ZJW
 * @Date: 2022-05-05 11:36
 * @Description: 生产签名工具类
 */
public class SignUtil {

    private static String secret = "e10adc3949ba59abbe56e057f20f883f";

    /**
     * @param [map]
     * @Author: Mr.ZJW
     * @Description: 根据Map生成签名
     * @Date: 2022/5/5 11:38
     **/
    public static String generatorSign(Map<String, Object> map) {
        map.remove("sign");
        //排序
        Map<String, Object> stringObjectMap = MapSortUtil.sortMapByKey(map);
        //转格式
        Set<Map.Entry<String, Object>> entries = stringObjectMap.entrySet();
        //存放StringBuilder
        StringBuilder sb = new StringBuilder();
        //遍历
        for (Map.Entry<String, Object> entry : entries) {
            sb.append(entry.getKey() + ":" + entry.getValue()).append("&");
        }
        //组装secret
        sb.append("secret").append(secret);
        //生产签名
        return SHA256Util.getSHA256String(sb.toString());
    }

    /**
     * @Author: Mr.ZJW
     * @Description: 校验签名
     * @param [map]
     * @Date: 2022/5/6 11:11
    **/
    public static Boolean checkSign(Map<String,Object> map){
        String sign = (String) map.get("sign");
        map.remove("sign");
        //生产Sign
        String signGenera = generatorSign(map);
        //校验Sign
        if (signGenera.equals(sign)){
            return true;
        }
        return false;
    }
}

3、Map排序工具类

/**
 * @Author: Mr.ZJW
 * @Date: 2022-05-05 10:59
 * @Description: Map排序工具类
 */
public class MapSortUtil {

    /**
     * @Author: Mr.ZJW
     * @Description: Map排序工具类
     * @Date: 2022/5/5 11:01
     **/
    public static Map<String, Object> sortMapByKey(Map<String, Object> map) {
        //判断是否为空
        if (ObjectUtils.isEmpty(map)) {
            throw new RuntimeException("输入参数为空");
        }
        //排序
        Map<String, Object> sortMap = new TreeMap<>(new MyMapComparator());
        sortMap.putAll(map);
        return sortMap;
    }

    static class MyMapComparator implements Comparator<String> {
        @Override
        public int compare(String o1, String o2) {
            return o1.compareTo(o2);
        }
    }
}

四、测试get请求，参数写url上

1、测试内容，这里简单测试两个appId以及name

    public static void main(String[] args) {
        HashMap<String, Object> map = new HashMap<>();
        map.put("appId", 1);
        map.put("name", "jowell");
        String s = generatorSign(map);
        System.out.println("s = " + s);
    }

在这里插入图片描述
2、controller代码

    /**
     * @Author: Mr.ZJW
     * @Description: get请求，参数写url上
     * @param [sign, request]
     * @Date: 2022/5/5 17:22
    **/
    @GetMapping("/getTest")
    public String getTest(String sign,HttpServletRequest request){
        HashMap<String, Object> map = new HashMap<>();
        // 获取get中的参数
        Enumeration<String> parameterNames = request.getParameterNames();
        while (parameterNames.hasMoreElements()){
            //获取name
            String parametename = parameterNames.nextElement();
            // 获取值
            String parameterValue = request.getParameter(parametename);
            map.put(parametename,parameterValue);
        }
        //排序
        Map<String, Object> map1 = MapSortUtil.sortMapByKey(map);
        //生产签名
        String sign1 = SignUtil.generatorSign(map1);
        //判断签名
        if (sign.equals(sign1)){
            return "success";
        }
        return "error";
    }

3、启动项目测试效果
如下图测试成功:
在这里插入图片描述
我们把appId内容改为2，可以可以看到请求接口失败，无论是改了内容还是改了签名，都请求不成功，这样就防止了第三方而已者篡改接口内容
在这里插入图片描述

五、post请求，参数放入body中

测试内容同上

1、把请求参数封装为实体类

@Data
public class SignDTO {

    private String appId;

    private String name;

    private String sign;
}

2、controller

    /**
     * @Author: Mr.ZJW
     * @Description: post请求，参数放入body中
     * @param [signDTO]
     * @Date: 2022/5/5 17:09
    **/
    @PostMapping("/postTest")
    public String postTest(@RequestBody SignDTO signDTO) {
        //JSON转对象
        JSONObject jsonObject = JSONUtil.parseObj(signDTO);
        //转Map
        Map<String, Object> map = Convert.toMap(String.class, Object.class, jsonObject);
        //排序
        Map<String, Object> map1 = MapSortUtil.sortMapByKey(map);
        System.out.println("map1 = " + map1);
        //生成
        String sign = SignUtil.generatorSign(map1);
        //判断签名
        if (sign.equals(signDTO.getSign())){
            return "校验通过";
        }
        return "校验失败";
    }

3、启动项目测试
在这里插入图片描述
在这里插入图片描述

但通过上面代码可以看到，代码非常冗余，每次写一次controller都得写签名校验，下面把签名验证改为统一过滤器。

六、使用过滤器配置接口防篡改

一、相关工具类

1、Sign过滤器类

@Slf4j
@Component
public class SignAuthFilter implements Filter {

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
    }

    @Override
    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
		//ServletRequest转HttpServletRequest
        HttpServletRequest req = (HttpServletRequest) servletRequest;
        //获取请求路径
        final String uri = req.getRequestURI().startsWith("/") ? req.getRequestURI().substring(1) : req.getRequestURI();
        //对以下请求放行
        if(uri.contains("user/getCaptcha")){
            filterChain.doFilter(servletRequest, servletResponse);
            return;
        }


        //转HttpServletRequest以及HttpServletResponse
        HttpServletRequest request = new BodyReaderHttpServletRequestWrapper((HttpServletRequest) servletRequest);
        HttpServletResponse response = (HttpServletResponse) servletResponse;

        //获取请求参数工具类，包括是get或post
        SortedMap<String, Object> allParams = HttpParamUtil.getAllParams(request);
        log.info("所有请求参数:{}", allParams);
        //校验签名
        Boolean flag = SignUtil.checkSign(allParams);
        if (flag){
            filterChain.doFilter(request, response);
        }else {
            response.setCharacterEncoding("utf-8");
            response.setContentType("application/json;charset=utf-8");
            PrintWriter writer = response.getWriter();
            JSONObject jsonObject = new JSONObject();
            jsonObject.put("msg","签名不正确");
            jsonObject.put("code",-1);
            writer.println(jsonObject);
        }
    }

    @Override
    public void destroy() {
    }

}

2、保存过滤器里面的流工具类

/**
 * @Author: Mr.ZJW
 * @Description: 保存过滤器里面的流
 * @Date: 2022/5/6 15:03
**/
public class BodyReaderHttpServletRequestWrapper extends HttpServletRequestWrapper {
 
    private final byte[] body;
 
    public BodyReaderHttpServletRequestWrapper(HttpServletRequest request) {
        super(request);
        String sessionStream = getBodyString(request);
        body = sessionStream.getBytes(Charset.forName("UTF-8"));
    }
 
    /**
     * 获取请求Body
     *
     * @param request
     * @return
     */
    public String getBodyString(final ServletRequest request) {
 
        StringBuilder sb = new StringBuilder();
        try (
            InputStream inputStream = cloneInputStream(request.getInputStream());
            BufferedReader reader = new BufferedReader(new InputStreamReader(inputStream, Charset.forName("UTF-8")))
        ) {
            String line;
            while ((line = reader.readLine()) != null) {
                sb.append(line);
            }
        } catch (IOException e) {
            e.printStackTrace();
        }
        return sb.toString();
    }
 
    /**
     * Description: 复制输入流</br>
     */
    public InputStream cloneInputStream(ServletInputStream inputStream) {
 
        ByteArrayOutputStream byteArrayOutputStream = new ByteArrayOutputStream();
        byte[] buffer = new byte[1024];
        int len;
        try {
            while ((len = inputStream.read(buffer)) > -1) {
                byteArrayOutputStream.write(buffer, 0, len);
            }
            byteArrayOutputStream.flush();
        } catch (IOException e) {
            e.printStackTrace();
        }
        return new ByteArrayInputStream(byteArrayOutputStream.toByteArray());
    }
 
    @Override
    public BufferedReader getReader() {
 
        return new BufferedReader(new InputStreamReader(getInputStream()));
    }
 
    @Override
    public ServletInputStream getInputStream() {
 
        final ByteArrayInputStream bais = new ByteArrayInputStream(body);
        return new ServletInputStream() {
 
            @Override
            public int read() {
 
                return bais.read();
            }
 
            @Override
            public boolean isFinished() {
 
                return false;
            }
 
            @Override
            public boolean isReady() {
 
                return false;
            }
 
            @Override
            public void setReadListener(ReadListener readListener) {
 
            }
        };
    }
}

3、获取请求参数工具类，不管是get或post

/**
 * @Author: Mr.ZJW
 * @Date: 2022-05-06 9:30
 * @Description: 获取请求参数工具类，不管是get或post
 */
public class HttpParamUtil {

    /**
     * @param [request]
     * @Author: Mr.ZJW
     * @Description: 获取请求中的所以参数，包括get或post
     * @Date: 2022/5/6 10:25
     **/
    public static SortedMap<String, Object> getAllParams(HttpServletRequest request) throws IOException {
        //总的参数map
        SortedMap<String, Object> allMap = new TreeMap<>();
        //获取URL上的参数
        if (StringUtils.isNotEmpty(request.getQueryString())) {
            Map<String, Object> urlParams = getUrlParams(request);
            //遍历URL上的参数
            for (Map.Entry entry : urlParams.entrySet()) {
                allMap.put((String) entry.getKey(), entry.getValue());
            }
        }
        //获取Body上的参数
        Map<String, String> bodyParams = getBodyParams(request);
        if (ObjectUtils.isNotEmpty(bodyParams)) {
            //遍历Body上的参数
            for (Map.Entry entry : bodyParams.entrySet()) {
                allMap.put((String) entry.getKey(), entry.getValue());
            }
        }
        return allMap;
    }

    /**
     * @param [request]
     * @Author: Mr.ZJW
     * @Description: 获取Body上的参数
     * @Date: 2022/5/6 9:52
     **/
    private static Map<String, String> getBodyParams(HttpServletRequest request) throws IOException {
        //读取Body中的参数
        BufferedReader bufferedReader = new BufferedReader(new InputStreamReader(request.getInputStream()));
        StringBuilder sb = new StringBuilder();
        String s = "";
        while (null != (s = bufferedReader.readLine())) {
            sb.append(s);
        }
        //转Map
        return JSONObject.parseObject(sb.toString(), Map.class);
    }

    /**
     * @param [request]
     * @Author: Mr.ZJW
     * @Description: 获取URL上的参数
     * @Date: 2022/5/6 9:52
     **/
    private static Map<String, Object> getUrlParams(HttpServletRequest request) {
        String queryParam = "";
        try {
            //查询URL上的请求参数
            queryParam = URLDecoder.decode(request.getQueryString(), "utf-8");
        } catch (UnsupportedEncodingException e) {
            e.printStackTrace();
        }
        HashMap<String, Object> result = new HashMap<>();
        //分隔：如//hello?a=1&b=2  分隔&
        String[] split = queryParam.split("&");
        //遍历
        for (String s : split) {
            int i = s.indexOf("=");
            result.put(s.substring(0, i), s.substring(i + 1));
        }
        return result;
    }

}

二、测试

1、controller代码，如下可以看到代码清晰了很多，只关注业务代码即可

    /**
     * @param [sign, request]
     * @Author: Mr.ZJW
     * @Description: get请求，参数写url上
     * @Date: 2022/5/5 17:22
     **/
    @GetMapping("/getTest")
    public String getTest(String sign, HttpServletRequest request) {
        System.out.println("进入get请求，参数写url上方法");
        return "getTest";
    }
    
    /**
     * @param [signDTO]
     * @Author: Mr.ZJW
     * @Description: post请求，参数放入body中
     * @Date: 2022/5/5 17:09
     **/
    @PostMapping("/postTest")
    public String postTest(@RequestBody SignDTO signDTO) {
        System.out.println("进入post请求，参数放入body中方法");
        return "postTest";
    }

2、测试

在这里插入图片描述
post请求测试

在这里插入图片描述
如下可以看到，只要我修改了内容就验证不通过，就判定接口是被第三方恶意篡改过的
在这里插入图片描述
get请求测试同上，自行测试

在这里插入图片描述

喝汽水的猫^
关注
  • 11
    点赞
  • 踩
  • 31
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 3
    评论
专栏目录
Java防篡改方式
06-18
包含各种java防篡改方式，主要介绍代码混淆和加密源文件两种方式的基本原理。
java实现的图片防篡改功能
09-03
java实现的图片防篡改功能，采用图片hash生成唯一标识，再进行比对，判断图片是否被篡改过，可运行源码
如何保证接口安全，做到防篡改防重放？
最新发布
dzqxwzoe的博客
04-02 1016
对于互联网来说，只要你系统的接口暴露在外网，就避免不了接口安全问题。如果你的接口在外网裸奔，只要让黑客知道接口的地址和参数就可以调用，那简直就是灾难。举个例子：你的网站用户注册的时候，需要填写手机号，发送手机验证码，如果这个发送验证码的接口没有经过特殊安全处理，那这个短信接口早就被人盗刷不知道浪费多少钱了。那如何保证接口安全呢？一般来说，暴露在外网的api接口需要做到和才能称之为安全的接口。
接口防篡改
yw_2022的博客
05-01 615
接口防篡改
用JAVA写一个简易图片防篡改
chepi7680的博客
02-20 348
图片防止篡改部分 第一步，获取图片的md5字符串，并转为字节数组 //将图片使用md5加密 private static byte[] img2Md5Bytes(File file,String salt) throws Exception{ FileInput...
webapi接口请求数据防篡改
08-17
自己简单实现的一个webapi接口请求时验证客户端传送数据防止被篡改的组件，需要客户端配合签名，不懂的想想支付宝的支付接口签名，业务逻辑一样。
md5的js文件,可用于前端使用和后端相同的算法加密参数,实现接口防篡改
01-27
MD5的典型应用是对一段信息（Message）产生信息摘要（Message-Digest），以防止被篡改。
使用数字签名实现数据库记录防篡改（Java实现）
08-31
本文主要介绍了Java中使用数字签名实现数据库记录防篡改的方法与步骤。具有很好的参考价值，下面跟着小编一起来看下吧
Md5Utils(接口防篡改算法).java
01-27
加签、验签是用来解决防篡改问题的,将排序后的参数与其对应值，组合成“参数=参数值”的格式，并且把这些参数用&字符连接起来，此时生成的字符串为待摘要字符串。
java请求参数防修改_Spring MVC接口防数据篡改和重复提交
weixin_28877505的博客
02-24 1084
本文实例为大家分享了Spring MVC接口防数据篡改和重复提交的具体代码，供大家参考，具体内容如下一、自定义一个注解，此注解可以使用在方法上或类上使用在方法上，表示此方法需要数据校验使用在类上，表示此类下的所有方法需要数据校验此注解对无参数方法不起作用import org.springframework.stereotype.Component;@Target({ElementType.TYPE...
java 防篡改_用JAVA二十分钟撸一个简易图片防篡改
weixin_35203962的博客
02-21 648
看到有个毕设是搞图片防篡改的，就自己撸了一个简易图片防止篡改。原理将图片字节生成字符串使用摘要算法加密，将加密生成的字节写到图片最后。验证时，首先读取末尾的加密字节，读取完成以后删除，再通过摘要算法加密，判断加密值与读取加密值是否相同，如果不同，则图片被篡改。我在这里使用加盐的md5算法。图片防止篡改部分第一步，获取图片的md5字符串，并转为字节数组//将图片使用md5加密private stat...
Spring MVC接口防数据篡改和重复提交
08-25
主要为大家详细介绍了Spring MVC接口防数据篡改和重复提交，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
Java防止文件被篡改之文件校验功能的实例代码
08-26
主要介绍了Java防止文件被篡改之文件校验功能，本文给大家分享了文件校验和原理及具体实现思路,需要的朋友可以参考下
接口防篡改方案
wanghong7936的博客
08-10 1186
加签、验签是用来解决防篡改问题的 ** 生成签名 ** 1、参数排序 将需要签名的内容根据参数名称进行排序，排序规则按照第一个字符的ASCII码值递增排序（字母升序排序），如果遇到相同字符则按照第二个字符的ASCII码递增排序，以此类推。将参数内容进行排序，可以保证签名、验签双方参数内容的一致性。 ****为什么会产生不一致？ 签名方以 Json 格式将参数内容发送给验签方，验签方需要将 Json...
【SpringBoot】之接口设计防篡改和防重放攻击
王廷云的博客
09-12 4846
本文讲解JavaWeb开发过程中可能出现的接口被拦截和参数被篡改的问题；然后介绍了如何进行有效安全防范；最后介绍了如何通过参数加密和签名校验的方式进行有效防范。
api接口加密防篡改
aitanxiaofeng的博客
11-30 218
只关注防篡改,后台具体其它验证不关注。
防篡改
java_zhaoyanli的专栏
03-15 2630
防篡改: 对对象整体的保护    三个级别: 不可逆    1. 防扩展: 禁止扩展新属性 其实就是设置对象的Extensible属性为false Object.preventExtensions(obj);         尝试扩展新属性: 禁用    2. 密封对象: 防扩展的基础上，禁止配置或删除每个属性 其实就是将每个属性的configurable设置为false    
API接口如何防止参数被篡改和重放攻击？
这个时代，作为程序员可能要学习小程序
08-25 2940
点击上方关注 “终端研发部”设为“星标”，和你一起掌握更多数据库知识作者：巨人大哥cnblogs.com/jurendage/p/12886352.html说明：目前所有的系统架构都是采用...
Java防止文件篡改之文件校验和
JavaBuilt的博客
03-16 8516
Java防止文件被篡改之文件校验和 转载：请注明出处，谢谢！ 1.为什么要防止文件被篡改？ 答案是显然的，为了保证版权，系统安全性等。之前公司开发一个系统，技术核心是一个科学院院士的研究成果，作为一款商业软件来说，保证公司及作者版权是非常重要的。系统安全性就更不用说了，系统两三下就被搞垮了，那这个系统就不算是一个合格的系统。 2.文件校验和作用 我们都知道，一个系统...
java 实现接口的关键字
05-27
在Java中，实现接口的关键字是 `implements`。使用 `implements` 可以让一个类实现一个或多个接口，实现接口的类需要实现接口中定义的所有方法。 以下是实现接口的语法： ``` class MyClass implements MyInterface { // 实现接口中定义的所有方法 } ``` 其中，`MyClass` 是要实现接口的类名，`MyInterface` 是要实现的接口名。在类中实现接口中定义的所有方法可以使用 `@Override` 注解。 例如，以下是一个使用 `implements` 实现接口的示例： ``` interface MyInterface { void doSomething(); } class MyClass implements MyInterface { @Override public void doSomething() { System.out.println("I am doing something."); } } public class Main { public static void main(String[] args) { MyClass myClass = new MyClass(); myClass.doSomething(); } } ``` 在上述示例中，`MyClass` 类实现了 `MyInterface` 接口，并实现了 `doSomething` 方法。在 `Main` 类中创建 `MyClass` 实例，并调用 `doSomething` 方法。 需要注意的是，一个类可以实现多个接口，多个接口之间用逗号 `,` 分隔。例如： ``` class MyClass implements Interface1, Interface2, Interface3 { // 实现接口中定义的所有方法 } ```

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

喝汽水的猫^

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值