使用Spring Boot拦截器实现时间戳校验以防止接口被恶意刷

使用Spring Boot拦截器实现时间戳校验以防止接口被恶意刷

在开发Web应用程序时，接口被恶意刷请求（例如DDoS攻击或暴力破解）是一个常见的安全问题。为了提高接口的安全性，我们可以在服务端实现时间戳校验，以确保请求的合法性。本文将介绍如何在Spring Boot中使用拦截器来实现一个通用的时间戳验证机制。

一、为什么需要时间戳校验？

时间戳校验是一种简单而有效的安全措施。通过在请求中携带一个带有校验位的时间戳，服务端可以验证该请求是否是有效的。这样可以防止请求被重放或者被批量自动化刷请求，从而提升系统的安全性。

二、时间戳校验的设计思路

为了增加校验的难度，可以采用以下策略：

1. 混淆时间戳和随机数：将当前的时间戳和一个随机数结合起来，然后进行混淆处理（如位操作）。
2. 多重校验位：使用多位校验位而不是一位，这样增加猜测的难度。
3. 非线性算法：使用非线性算法（如基于哈希或加密的算法）来生成校验位，增加逆向工程的难度。

三、时间戳校验的实现

1. 客户端代码

假设客户端使用JavaScript来生成带有校验位的时间戳：

javascript复制代码function generateTimestampWithCheckDigits() {
    const timestamp = Date.now(); // 获取当前的13位毫秒级时间戳
    const randomNum = Math.floor(Math.random() * 1000); // 生成一个三位随机数

    const mixedValue = mixTimestampAndRandom(timestamp, randomNum); // 混合时间戳和随机数
    const checkDigits = calculateCheckDigits(mixedValue); // 计算多位校验位

    return `${timestamp}${randomNum}${checkDigits}`; // 最终的值由时间戳、随机数和校验位组成
}

function mixTimestampAndRandom(timestamp, randomNum) {
    // 将时间戳和随机数进行混淆操作，例如简单的位操作
    return (BigInt(timestamp) ^ BigInt(randomNum)).toString();
}

function calculateCheckDigits(mixedValue) {
    // 使用更复杂的算法计算多位校验位，例如哈希算法或非线性函数
    let sum = 0;
    for (let i = 0; i < mixedValue.length; i++) {
        sum += parseInt(mixedValue.charAt(i)) * (i + 1); // 简单的非线性权重
    }
    return (sum % 97).toString().padStart(2, '0'); // 返回两位校验位
}

const timestampWithCheckDigits = generateTimestampWithCheckDigits();
console.log("Generated Timestamp with Check Digits: ", timestampWithCheckDigits);

客户端生成一个当前的13位毫秒级时间戳，并生成一个随机数。然后，将两者结合并混淆后，计算出校验位。最终，将时间戳、随机数和校验位组合成一个字符串，发送到服务端。

2. 服务端代码（Spring Boot）

在服务端，我们使用Spring Boot的拦截器来拦截所有HTTP请求，并对时间戳进行校验。

TimestampInterceptor.java

java复制代码import org.springframework.stereotype.Component;
import org.springframework.web.servlet.HandlerInterceptor;

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

@Component
public class TimestampInterceptor implements HandlerInterceptor {

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        String timestamp = request.getParameter("timestamp");

        if (timestamp == null || !isValidTimestamp(timestamp)) {
            response.setStatus(HttpServletResponse.SC_BAD_REQUEST);
            response.getWriter().write("Invalid timestamp");
            return false;
        }

        return true;
    }

    private boolean isValidTimestamp(String timestamp) {
        if (timestamp.length() != 18) { // 13位时间戳 + 3位随机数 + 2位校验位
            return false;
        }

        String originalTimestamp = timestamp.substring(0, 13);
        String randomNum = timestamp.substring(13, 16);
        String providedCheckDigits = timestamp.substring(16, 18);

        String mixedValue = mixTimestampAndRandom(originalTimestamp, randomNum);
        String calculatedCheckDigits = calculateCheckDigits(mixedValue);

        return providedCheckDigits.equals(calculatedCheckDigits);
    }

    private String mixTimestampAndRandom(String timestamp, String randomNum) {
        long timestampLong = Long.parseLong(timestamp);
        int randomNumInt = Integer.parseInt(randomNum);
        return String.valueOf(timestampLong ^ randomNumInt); // 与客户端相同的混淆操作
    }

    private String calculateCheckDigits(String mixedValue) {
        int sum = 0;
        for (int i = 0; i < mixedValue.length(); i++) {
            sum += Character.getNumericValue(mixedValue.charAt(i)) * (i + 1);
        }
        return String.format("%02d", sum % 97); // 计算两位校验位
    }
}

WebConfig.java

java复制代码import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;

@Configuration
public class WebConfig implements WebMvcConfigurer {

    @Autowired
    private TimestampInterceptor timestampInterceptor;

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(timestampInterceptor)
                .addPathPatterns("/**"); // 拦截所有路径的请求
    }
}

在TimestampInterceptor中，我们重写了preHandle方法，获取请求中的时间戳参数，并调用isValidTimestamp方法来验证时间戳的合法性。如果时间戳不合法，则返回400错误。

四、效果与优化

通过以上实现，所有请求在到达Controller之前，都会先经过时间戳校验。这种方式可以有效防止接口被恶意刷请求，保护系统的安全性。

进一步优化

• 时间窗口验证：可以进一步增加时间戳的有效时间范围，例如，时间戳必须在当前时间的前后一分钟之内。
• 动态秘钥：可以引入动态秘钥来进一步混淆校验算法，使得破解更加困难。
• 分布式缓存：使用分布式缓存（如Redis）记录已接收的时间戳，防止重放攻击。

五、总结

通过Spring Boot的拦截器，我们可以非常方便地在所有请求之前进行时间戳校验。这种通用的解决方案不仅提高了系统的安全性，而且易于维护和扩展。您可以根据实际需求对校验算法进行调整和优化，确保接口的安全性。

---

希望本文能对你在防止接口被恶意刷请求方面提供一些有用的思路和参考！