如何防止API接口被未授权的客户端调用？

最新推荐文章于 2024-10-10 10:15:16 发布

KKView远程查看手机电脑摄像头和屏幕

最新推荐文章于 2024-10-10 10:15:16 发布

阅读量294

点赞数

分类专栏：加密文章标签： java 前端数据库

本文链接：https://blog.csdn.net/shelutai/article/details/133986931

版权

加密专栏收录该内容

7 篇文章 0 订阅

订阅专栏

本文介绍了开发接口时常用的三种安全认证方式：基础认证（Base64编码的用户名密码）、带有accessToken的Baic认证以及动态签名（包括时间戳、nonce和HMACSHA256加密），以增强系统的安全性并防范重放和中间人攻击。

摘要由CSDN通过智能技术生成

认证
与第三方系统做系统对接，接口认证是必不可少的，安全的认证方式可以极大的增强系统的安全性访问。今天我们就总结一下我们在开发接口时常用的三种安全认证方式。

认证方式
Baic 认证
一种及其简单的认证方式，调用方通过对用户名和密码做 Base64 加密然后传递到服务端进行认证。
代码如下：
codeduidaima.com

堆代码 duidaima.com

拼接 key

String key = “app_id:app_secrect”;
Map<String, String> headers = new HashMap<>();

Base64 对 key 进行加密

headers.put(“Authorization”, "Basic " + Base64.encode(key));
request.addHeaders(headers);
Map<String, Object> form = new HashMap<>();
form.put(“grant_type”, “client_credentials”);
form.put(“scope”, “write”);
request.form(form);
request.execute().body();
Baic 认证 + Token
如果想进一步加强认证，可以通过上一步获取 accessToken，然后每次请求携带。
codeduidaima.com
JSONObject jsonObject = new JSONObject();
jsonObject.put(“invoiceTypeNo”,“04”);
HttpRequest httpRequest = HttpUtil.createPost(url);
headers = new HashMap<>();
headers.put(“Authorization”, "Bearer ".concat(accessToken));
headers.put(“Content-Type”,“application/json”);
httpRequest.addHeaders(headers);
httpRequest.body(jsonObject.toJSONString());
String info = httpRequest.execute().body();
安全性相对 Baic认证有所提升，每次接口调用时都使用临时颁发的 access_token 来代替用户名和密码减少凭证泄漏的机率。

动态签名
在每次接口调用时都需要传输以下参数：
appKey 应用秘钥
time 当前时间戳
nonce 随机数
sign 签名
codeduidaima.com
String appKey = “qwe@2023”;
SortedMap<String, String> packageParams = new TreeMap<>();
packageParams.put(“time”, System.currentTimeMillis()+“”);
packageParams.put("nonce ", RandomStringUtils.randomNumeric(8));
String sign = createSign(packageParams, appKey);
packageParams.put(“sign”, sign);
//发送请求附带相关参数
获取签名：
codeduidaima.com

public static String createSign(SortedMap<String, String> packageParams, String appKey) {
        StringBuffer sb = new StringBuffer();
        Set es = packageParams.entrySet();
        Iterator it = es.iterator();
        while (it.hasNext()) {
            Map.Entry entry = (Map.Entry) it.next();
            String k = (String) entry.getKey();
            String v = (String) entry.getValue();
            if (StringUtils.isNotBlank(v)) {
                sb.append(k + "=" + v + "&");
            }
        }
        sb.append("key=" + appKey);
        return HMACUtil.HMACSHA256(sb.toString(),appKey);
}

HMACSHA256 加密：

codeduidaima.com

public static String HMACSHA256(String data, String key){
        try {
            Mac  sha256_HMAC = Mac.getInstance("HmacSHA256");
            SecretKeySpec secret_key = new SecretKeySpec(key.getBytes("UTF-8"), "HmacSHA256");
            sha256_HMAC.init(secret_key);
            byte[] array = sha256_HMAC.doFinal(data.getBytes("UTF-8"));
            StringBuilder sb = new StringBuilder();
            for (byte item : array) {
                sb.append(Integer.toHexString((item & 0xFF) | 0x100), 1, 3);
            }
            return sb.toString().toUpperCase();
        } catch (Exception e) {
            e.printStackTrace();
        }
        return "";
}