失算！我的注册接口被搞了

于 2024-05-30 15:39:07 发布
阅读量1.2k 收藏 26
点赞数 23
文章标签： java 压力测试 程序人生
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/lhcong_/article/details/139326125
版权

大家好我是聪，前几天有人说要搞我的接口，我以为他口嗨，昨天快下班的时候去数据库一看！没想到他去搞了我的注册接口！给我刷了两百万条数据！（小意思哈哈开个玩笑）。本次代码已上传短链狗，可以到我的Github短链项目进行查看喔：https://github.com/lhccong/short-link-dog-backend

图片

紧急补救

查看恶意访问 IP

先打开 nginx 日志目录的 access.log 文件查看访问的端口号，输入命令如下：

sed -E 's/^([0-9]+.[0-9]+.[0-9]+.[0-9]+).*$/\1/' /usr/local/nginx/logs/access.log | sort | uniq -c | sort -nr | head -n 10

image-20240528101715394.png

由于之前的日志太大我先移除了一波，重新打了一次，前面是恶意的访问次数，后面是访问的 IP 地址：

image-20240528111204095.png

找到了恶意请求的 IP 就好办了，我的 nginx 日志一直在猛猛飙我直接好家伙，虽然造成不了什么伤害，但是看着难受啊，占用我磁盘空间，那我直接！腾讯云启动！

防火墙封禁

在防火墙上直接封禁拦截掉这两个恶意的 IP 请求：

image-20240528111543299.png

这样做其实并不能完全防御，幸好他的手段只能用它自己的两台服务器来压测我，如果是高手对我进行攻击，那我也没法防御选择拦截外网请求或者直接关闭服务器啦！

增强注册接口的安全性

禁掉了他的两台服务器这个风波暂时过去了，经过这件事情我发现我的注册接口太容易被搞了！！我什么都没设置，验证码都没有才导致这种坏人有机可乘，我花了 7 分钟百度了一下前端加验证码，给我找到了一个快捷方便的开源验证码 AJ-Captcha ，先给大家看看我加完验证码后我的注册接口：

Snipaste_2024-05-28_10-03-15.png

使用 AJ-Captcha 实现验证码

没错！就是加了滑动校验，不能让他那么轻易的给我疯狂注册哈哈哈。既然看到了效果，不知道大家是否有兴趣跟着我来实现一波呢！来吧跟着我来实现一波！

首先先跟着官方文档来啦！

官方文档地址：https://ajcaptcha.beliefteam.cn/captcha-doc/captchaDoc

示例代码地址：https://github.com/anji-plus/captcha

如果大家想跟着官方来也可以，但是如果你的项目是 React 的话，官方好像没有提供这样的示例 Demo ,不过我也找到了解决方法，大家可以跟着我一起看一下：

后端开发

引入依赖

先从官方文档获取到依赖地址，在项目中引入：

<!-- 接入滑动验证 https://ajcaptcha.beliefteam.cn/captcha-doc/captchaDoc/java.html-->
<dependency>
    <groupId>com.anji-plus</groupId>
    <artifactId>spring-boot-starter-captcha</artifactId>
    <version>1.3.0</version>
</dependency>
设置配置信息

官网的是 properties 的格式，想用 yml 格式的话可以使用我这份：

# 滑动验证，底图路径，不配置将使用默认图片
# 支持全路径
# 支持项目路径,以classpath:开头,取resource目录下路径,例：classpath:images/jigsaw
aj:
  captcha:
#    jigsaw: "classpath:images/jigsaw"
    #滑动验证，底图路径，不配置将使用默认图片
    ##支持全路径
    # 支持项目路径,以classpath:开头,取resource目录下路径,例：classpath:images/pic-click
#    pic-click: "classpath:images/pic-click"

    # 对于分布式部署的应用，我们建议应用自己实现CaptchaCacheService，比如用Redis或者memcache，
    # 参考CaptchaCacheServiceRedisImpl.java
    # 如果应用是单点的，也没有使用redis，那默认使用内存。
    # 内存缓存只适合单节点部署的应用，否则验证码生产与验证在节点之间信息不同步，导致失败。
    # ！！！ 注意啦，如果应用有使用spring-boot-starter-data-redis，
    # 请打开CaptchaCacheServiceRedisImpl.java注释。
    # redis ----->  SPI： 在resources目录新建META-INF.services文件夹(两层)，参考当前服务resources。
    # 缓存local/redis...
    cache-type: local
    # local缓存的阈值,达到这个值，清除缓存
    #cache-number: 1000
    # local定时清除过期缓存(单位秒),设置为0代表不执行
    #timing-clear: 180
    #spring.redis.host: 10.108.11.46
    #spring.redis.port: 6379
    #spring.redis.password:
    #spring.redis.database: 2
    #spring.redis.timeout: 6000

    # 验证码类型default两种都实例化。
    type: default
    # 汉字统一使用Unicode,保证程序通过@value读取到是中文，可通过这个在线转换;yml格式不需要转换
    # https://tool.chinaz.com/tools/unicode.aspx 中文转Unicode
    # 右下角水印文字(我的水印)
    water-mark: "\u6211\u7684\u6c34\u5370"
    # 右下角水印字体(不配置时，默认使用文泉驿正黑)
    # 由于宋体等涉及到版权，我们jar中内置了开源字体【文泉驿正黑】
    # 方式一：直接配置OS层的现有的字体名称，比如：宋体
    # 方式二：自定义特定字体，请将字体放到工程resources下fonts文件夹，支持ttf\ttc\otf字体
    #water-font: WenQuanZhengHei.ttf
    # 点选文字验证码的文字字体(文泉驿正黑)
    #font-type: WenQuanZhengHei.ttf
    # 校验滑动拼图允许误差偏移量(默认5像素)
    slip-offset: 5
    # aes加密坐标开启或者禁用(true|false)
    aes-status: true
    # 滑动干扰项(0/1/2)
    interference-options: 2

    #点选字体样式 默认Font.BOLD
    font-style: 1
    #点选字体字体大小
    font-size: 25
    #点选文字个数,存在问题，暂不支持修改
    #click-word-count: 4

    history-data-clear-enable: false

    # 接口请求次数一分钟限制是否开启 true|false
    req-frequency-limit-enable: false
    # 验证失败5次，get接口锁定
    req-get-lock-limit: 5
    # 验证失败后，锁定时间间隔,s
    req-get-lock-seconds: 360
    # get接口一分钟内请求数限制
    req-get-minute-limit: 30
    # check接口一分钟内请求数限制
    req-check-minute-limit: 60
    # verify接口一分钟内请求数限制
    req-verify-minute-limit: 60
配置实现

配置 Config：

@Configuration
public class CaptchaConfig {

    @Autowired
    StringRedisTemplate redisTemplate;

    @Bean(name = "CaptchaCacheService")
    @Primary
    public CaptchaCacheService captchaCacheService(AjCaptchaProperties config){
        //缓存类型redis/local/....
        CaptchaCacheService ret = CaptchaServiceFactory.getCache(config.getCacheType().name());
        if(ret instanceof CaptchaCacheServiceRedisImpl){
            ((CaptchaCacheServiceRedisImpl)ret).setStringRedisTemplate(redisTemplate);
        }
        return ret;
    }
}

这里给出两种配置实现的方式：

1）基于单机实现

这种实现方式只适合单机校验的形式，当有多台分布式的时候验证码会失效

实现 AbstractCaptchaService 抽象类：

public class DefaultCaptchaServiceImpl extends AbstractCaptchaService {
    DefaultCaptchaServiceImpl() {
        //document why this constructor is empty
    }

    //这个需要实现，如果返回 redis 那就是使用 redis 那套
    public String captchaType() {return "default";}
    @Override
    public void init(Properties config) {
        for (String s : CaptchaServiceFactory.instances.keySet()) {
            if (!this.captchaType().equals(s)) {
                this.getService(s).init(config);
            }
        }
    }
    @Override
    public void destroy(Properties config) {
        for (String s : CaptchaServiceFactory.instances.keySet()) {
            if (!this.captchaType().equals(s)) {
                this.getService(s).destroy(config);
            }
        }
    }
    private CaptchaService getService(String captchaType) {return CaptchaServiceFactory.instances.get(captchaType);}
    @Override
    public ResponseModel get(CaptchaVO captchaVO) {
        if (captchaVO == null) {
            return RepCodeEnum.NULL_ERROR.parseError("captchaVO");
        } else {
            return StringUtils.isEmpty(captchaVO.getCaptchaType()) ? RepCodeEnum.NULL_ERROR.parseError("类型") : this.getService(captchaVO.getCaptchaType()).get(captchaVO);
        }
    }

    @Override
    public ResponseModel check(CaptchaVO captchaVO) {
        if (captchaVO == null) {
            return RepCodeEnum.NULL_ERROR.parseError("captchaVO");
        } else if (StringUtils.isEmpty(captchaVO.getCaptchaType())) {
            return RepCodeEnum.NULL_ERROR.parseError("类型");
        } else {
            return StringUtils.isEmpty(captchaVO.getToken()) ? RepCodeEnum.NULL_ERROR.parseError("token") : this.getService(captchaVO.getCaptchaType()).check(captchaVO);
        }
    }
    @Override
    public ResponseModel verification(CaptchaVO captchaVO) {
        if (captchaVO == null) {
            return RepCodeEnum.NULL_ERROR.parseError("captchaVO");
        } else if (StringUtils.isEmpty(captchaVO.getCaptchaVerification())) {
            return RepCodeEnum.NULL_ERROR.parseError("二次校验参数");
        } else {
            try {
                String codeKey = String.format(REDIS_SECOND_CAPTCHA_KEY, captchaVO.getCaptchaVerification());
                if (!CaptchaServiceFactory.getCache(cacheType).exists(codeKey)) {
                    return ResponseModel.errorMsg(RepCodeEnum.API_CAPTCHA_INVALID);
                }

                CaptchaServiceFactory.getCache(cacheType).delete(codeKey);
            } catch (Exception var3) {
                this.logger.error("验证码坐标解析失败", var3);
                return ResponseModel.errorMsg(var3.getMessage());
            }

            return ResponseModel.success();
        }
    }
}

1）基于 Redis 实现

基于 Redis 实现的话记得要放开 yml 里面的 redis 配置喔

实现 AbstractCaptchaService 抽象类：

public class CaptchaCacheServiceRedisImpl implements CaptchaCacheService {

    @Override
    public String type() {
        return "redis";
    }

    public void setStringRedisTemplate(StringRedisTemplate stringRedisTemplate) {
        this.stringRedisTemplate = stringRedisTemplate;
    }

    private StringRedisTemplate stringRedisTemplate;

    @Override
    public void set(String key, String value, long expiresInSeconds) {
        stringRedisTemplate.opsForValue().set(key, value, expiresInSeconds, TimeUnit.SECONDS);
    }

    @Override
    public boolean exists(String key) {
        return Boolean.TRUE.equals(stringRedisTemplate.hasKey(key));
    }

    @Override
    public void delete(String key) {
        stringRedisTemplate.delete(key);
    }

    @Override
    public String get(String key) {
        return stringRedisTemplate.opsForValue().get(key);
    }

	@Override
	public Long increment(String key, long val) {
		return stringRedisTemplate.opsForValue().increment(key,val);
	}
}

那么我们的后端服务就已经搞定啦！大家是不是有疑惑，为什么没有 Controller ，没错他的 Controller 已经在依赖中给你封装好了，具体接口官方也给出了清晰的路径：

后端接口

获取验证码接口：http://你的项目地址/captcha/get

请求参数：

{
	"captchaType": "blockPuzzle",  //验证码类型 clickWord
	"clientUid": "唯一标识"  //客户端UI组件id,组件初始化时设置一次，UUID（非必传参数）
}

响应参数：

{
    "repCode": "0000",
    "repData": {
        "originalImageBase64": "底图base64",
        "point": {    //默认不返回的，校验的就是该坐标信息，允许误差范围
            "x": 205,
            "y": 5
        },
        "jigsawImageBase64": "滑块图base64",
        "token": "71dd26999e314f9abb0c635336976635", //一次校验唯一标识
        "secretKey": "16位随机字符串", //aes秘钥，开关控制，前端根据此值决定是否加密
        "result": false,
        "opAdmin": false
    },
    "success": true,
    "error": false
}

核对验证码接口接口：http:// : /captcha/check

请求参数：

{
	 "captchaType": "blockPuzzle",
	 "pointJson": "QxIVdlJoWUi04iM+65hTow==",  //aes加密坐标信息
	 "token": "71dd26999e314f9abb0c635336976635"  //get请求返回的token
}

响应参数：

{
    "repCode": "0000",
    "repData": {
        "captchaType": "blockPuzzle",
        "token": "71dd26999e314f9abb0c635336976635",
        "result": true,
        "opAdmin": false
    },
    "success": true,
    "error": false
}
测试接口

Snipaste_2024-05-28_08-51-17.png

注册接口改造

1）用户注册请求体

新增 captchaVerification 字段校验验证码：

@Data
public class UserRegisterRequest implements Serializable {

    private static final long serialVersionUID = 3191241716373120793L;

    private String userAccount;

    private String userPassword;

    private String checkPassword;

    private String captchaVerification;

}

2）注册逻辑改造

新增这段代码，获取 captchaVerification 通过 captchaService 进行校验：

CaptchaVO captchaVO = new CaptchaVO();
captchaVO.setCaptchaVerification(userRegisterRequest.getCaptchaVerification());
ResponseModel response = captchaService.verification(captchaVO);
if(!response.isSuccess()){
    //验证码校验失败，返回信息告诉前端
    //repCode  0000  无异常，代表成功
    //repCode  9999  服务器内部异常
    //repCode  0011  参数不能为空
    //repCode  6110  验证码已失效，请重新获取
    //repCode  6111  验证失败
    //repCode  6112  获取验证码失败,请联系管理员
    throw new BusinessException(ErrorCode.FORBIDDEN_ERROR,"验证码错误请重试");

}

前端开发

我翻了翻官方的接口文档和示例 Demo ，发现怎么没有 React 的教程啊，前端新手直接头疼，欸不要担心，天无绝人之路。我找到了别的大佬封装的 React 版本的依赖，项目地址：https://github.com/yuegongzi/aj-captcha-react

前端引入依赖
$ yarn add aj-captcha-react

  // or
  
$ npm install aj-captcha-react
直接项目中使用

定义函数：

const ref = useRef();
const click = () => {
    ref.current?.verify();
    console.log(ref.current?.verify());
  };
  • 在登录按钮的时候配置上这个 click 方法就能弹出滑动校验码啦。

使用组件：

<Captcha
onSuccess={async (data) => {
    const value = valueData;
    if (value) {
        value.captchaVerification = data.captchaVerification;
        await handleSubmit(value);
    }
}}
path="http://localhost:8204/api"
type="auto"
ref={ref}></Captcha>
  • path 是你项目的前缀，不是验证码的全路径喔。
  • onSuccess 是 验证码滑动正确的回调，成功了才给他传参注册。

完成之后就可以查看到效果啦，效果如下：

Snipaste_2024-05-28_10-03-15.png

我是聪ζ希望可以跟大家一起学习，我的 Github：https://github.com/lhccong
如果里面有你感兴趣的项目不妨给我点个星星⭐和关注🔥，未来我还会持续写新的好玩的小项目。

聪ζ
关注
【C语言_题库】舍罕网的失算？明明是我的失算！
十二_的博客
09-28 152
相传国际象棋是古印度舍罕王的宰相达依尔发明的。舍罕王十分喜爱象棋，决定让宰相自己选择何种赏赐。这位聪明的宰相指着 8 * 8 共 64 格的象棋说：“陛下，请您赏给我一些麦子吧。就在棋盘的第 1 格放 1 粒，第 2 格放 2 粒，第三格放 4 粒，以后每一格都比前一格增加一倍，依此放完棋盘 64 格，我就感激不尽了。”。舍罕王听了达依尔这个“小小”的要求，想都没想就满口答应下来。https://download.csdn.net/download/weixin_52372189/88383134
我以为我华为稳了，结果我失算了（java工程师）
weixin_46577306的博客
10-29 746
昨天看到B站大量毁意向的帖子，替受害者抱不平，替他们感到担忧，同时觉得B站很恶心，让好一些喜欢二次元的应届生陷入绝望。遇到这种事挺无奈的，真的。每年都有很多坑，拖到最后开劝退价的，泡池子没结果的，毁意向的，甚至毁三方的，谁也不知道这种事情会不会落到自己头上。 分享一个老哥的经历： 暑期实习的时候，我华为笔试420分，两轮面试表现我觉得已经接近是我一整年表现最好的了，所有问题答的都很好，撕代码也是又快，又一遍通。我觉得我稳了，于是就all in了，外地公司实习感觉不如本地香，本地华为感觉也挺好的了，也没..
图形验证码
2301_76797112的博客
08-03 177
首先你要拿到图形验证码你就需要那到前端传的数据，如果你是保存在Redis中的，你完全可以把图形验证码作为key，然后随机生成的数据作为验证码放到图形验证码里，最后把生成的图形验证码返回给前端。3.然后保存在Redis中，当然你还需要导入Redis的依赖，还有yml配置。因为前端需要传递的参数就一个图形验证码，我们可以用resful风格来接收。2.随机生成一个验证码，这个随机生成的验证码是为了放到图形验证码里面。4.设置页面的图形验证码的高和宽，放入随机生成的验证码。先给大家展示一下前端的代码。
注册啦
Oken的天地
06-27 355
  今日注册了。。。  我相信我可以从中学到很多东西的！
趣味C语言-题库-C语言-舍罕网的失算？
09-28
舍罕网的失算=？？ 相传国际象棋是古印度舍罕王的宰相达依尔发明的。舍罕王十分喜爱象棋，决定让宰相自己选择何种赏赐。这位聪明的宰相指着 8 * 8 共 64 格的象棋说：“陛下，请您赏给我一些麦子吧。就在棋盘的第 1 ...
【循环】舍罕王的失算
最新发布
03-27
舍罕王的失算是一个古老的数学故事，讲述了舍罕王如何低估了指数增长的力量。故事中，舍罕王想要奖励一位聪明的数学家，数学家请求舍罕王给他一粒麦子，并在棋盘上的第一个格子放上一粒麦子，接着在第二个格子放上两...
2》找接口-失败了！？
vip881006的博客
05-13 290
我们逆推： wireshark安装略过几百字； 设置略过几百字； 这里再次感谢 @李木子 姑娘，小白问过她什么叫做接口，怎吗识别如下答复：看interface ， 命名 DAO INTERFACE SERVICE 当然，后面的半句还没推倒，先看这个关键词：interface 就是它：interface运行wireshark,打开浏览器，我们继续换个工具推导163邮箱： 不过首先我
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值