Spring Boot实现分布式微服务开发实战系列 -- api接口安全

上一篇主要讲了整个项目的子模块及第三方依赖的版本号统一管理维护，数据库对接及缓存（Redis）接入，今天我来说说过滤器配置及拦截设置、接口安全处理、AOP切面实现等。作为电商项目，不仅要求考虑高并发带来的压力，更要考虑项目的安全稳固及可扩展。首先我们说说接口安全。

 

一，接口安全

说起安全，这似乎是IT行业一直以来的重点话题。实际真正的项目安全，更多的是运维工程师（安全专家）从网络和服务器层面保护。目前基本每个大的互联网公司都有一个安全团队（推荐大家了解下阿里安全专家吴翰清）。今天我要说的只是接口安全防护（如何防止恶意请求、数据篡改），这也是好多中高级开发者经常在面试中被问到的话题。首先我说说思路，目前接口安全的基本防护方案就是：令牌+签名，也有采用非对称加密密文传输，https协议传输等方案。

1，令牌+签名

这是今天要说的重点，令牌+签名到底怎么实现接口安全请求呢？

签名实现：最简单的实现就是先把你要请求的参数转化为字符串，再通过MD5给这个字符串加密，然后将加密后的字符串作为签名参数。Java后台再写一个过滤器，当请求进入过滤器，先取出参数在过滤器里按照这个规则生成校验。但在实际开发中，这种方式很容易被他人模仿请求你的接口&