互联网安全（一）摘要认证

一、为什么需要认证

　　经由HTTP协议进行通信的数据大多都是未经过加密的明文，包括请求参数、返回值、cookie、head等数据，因此，外界通过对通信的监听，便可以轻而易举地根据请求和响应双方的格式，伪造、修改、窃取信息。而且相对TCP来说，HTTP的通信更易于攻击。

 

　　所以，为了防止在通信的过程中，数据被中途拦截和修改；或者虚假的客户端冒充正常的客户端发起请求，非法获取数据；再或者是客户端与虚假的服务端进行通信，将个人信息泄露给恶意的攻击者，需要对请求和响应的参数及客户端的身份进行认证，以保住正确信息发送给了合法的接收者。

 

二、原理

　　对于普通的非敏感数据，我们更多关注其真实性和准确性。因此，如何在通信过程中保障数据不被篡改，才是考虑的首要问题。

常见的摘要算法包括：MD5、SHA等。用户先发出一个没有认证证书的请求，Web服务器回复一个带有WWW-authenticate头的响应，指明访问所请求的资源需要证书。但是和基础认证发送以Base64编码的用户名和密码不同，在摘要认证中服务器让客户选一个随机数（称作”nonce“），然后浏览器使用一个单向的加密函数生成一个消息摘要（messagedigest），该摘要是关于用户名、密码、给定的nonce值、HTTP方法，以及所请求的URL。消息摘要函数也被成为散列算法，是一种在一个方向上很容易计算，反方向却不可行的加密算法。与基础认证对比，解码基础认证中的Base64是很容易办到的。在服务器口令中，可以指定任意的散列算法。

 

三、实现

HttpURLConnection hc = null; 
        try
        {
            hc = (HttpURLConnection) new URL(url).openConnection();
            hc.setConnectTimeout(10000);
            hc.setReadTimeout(10000);
            hc.setDoInput(true);
            hc.setDoOutput(true);
            hc.setUseCaches(false);
 
                        String content = param;
                DataOutputStream out = new DataOutputStream(hc.getOutputStream());
                 
                out.writeBytes(content);
                out.flush();
                out.close();
                //从hc中取出sessionId
                for (int i = 1; (key = hc.getHeaderFieldKey(i)) != null; i++)
                {
                    if (key.equalsIgnoreCase("Set-Cookie"))
                    {
                        sessionId = hc.getHeaderField(key);
                        sessionId = sessionId.substring(0, sessionId.indexOf(";"));
                        break;
                    }
                }
BufferedReader reader = new BufferedReader(
                        new InputStreamReader(hc.getInputStream()));
                String lines;
                while ((lines = reader.readLine()) != null)
                {
                    break;
                }
                 
                reader.close();
 catch (Exception e)
        {
            //
            //e.printStackTrace();
            return false;
        }
        finally
        {
            // 断开连接
            hc.disconnect();
        }