java接口安全性

java接口安全性

接口的安全性主要围绕Token，TimeStamp（ts），Sign三个机制展开设计，保证接口的数据不会被篡改和重复调用

一、Token授权机制

用户使用用户名密码登陆后，服务器给客户端返回一个Token（通常UUID是经过一定规则加密的字字符串），并将token:userid以键值对的形式存放在缓存服务器中，服务端接收到请求后进行token验证，如果token不存在，说明请求无效。

二、时间戳ts超时机制

用户每次请求都带上当前时间的时间戳timestamp(ts)，服务端接收到timestamp后跟当前时间进行比对，如果时间差大于一定时间（5分钟），则认为该请求失败，这个时间要保证足够完成本次请求的同时尽量短，可以减少缓存服务器的压力

三、签名机制

将token和时间戳加上其他请求参数（也可加上用户个人私钥：盐）进行MD5和SHA-1算法（可根据情况加点盐）加密，加密后的数据为本次请求的签名sign，服务端接收到请求以后以同样的算法得到签名，并跟当前的签名进行比对，如果不一样，说明参数被修改过，直接返回错误标识，一样的话，服务端将该签名存放到缓存服务器中。

超时时间设定为时间戳的超时时间一致，同一个签名只能使用一次，如果再次请求发现缓存服务器中已经存在了本次签名，则拒绝服务。