使用HmacUtils对数据签名

背景

 外部的系统通过接口获取用户的信息时，为了保证数据来源的安全可靠，往往会对数据进行签名验签来进行参数的核验。

原理

    调用方对参数使用密钥进行签名，调用接口时将参数明文及签名后的签名值传递给被调用方。被调用方接收参数后，对参数明文使用密钥进行签名，将签名值与业务系统传递过来的签名值进行比较，如果签名值不一致，表明数据已经被篡改，即数据来源为非可信的数据源。       
   下面介绍的是使用开源的commons-codec.jar中HmacUtils工具类进行签名的方式。

具体的签名方法

maven依赖

        <dependency>
            <groupId>commons-codec</groupId>
            <artifactId>commons-codec</artifactId>
            <version>1.10</version>
        </dependency>

具体签名方法：

/**
* secret为业务双方约定的密钥，不可对外泄露
* plaintext为参数的明文
* sign签名值
* 调用方需要传递sign和plaintext给被调用方
* 被调用方重复对明文签名后，比对sign值，若不一样，说明数据源不一致
* 如果对接业务系统较多，建议新建一个表格来存储对secret的配置。
*/
String sign = HmacUtils.hmacSha256Hex(secret, plaintext);