api 安全

摘自： https://www.cnblogs.com/xingxia/p/api_secrute.html

APP、前后端分离项目都采用API接口形式与服务器进行数据通信，传输的数据被偷窥、被抓包、被伪造时有发生，那么如何设计一套比较安全的API接口方案呢？

一般的解决方案如下：

1、Token授权认证，防止未授权用户获取数据；

2、时间戳超时机制；

3、URL签名，防止请求参数被篡改；

4、防重放，防止接口被第二次请求，防采集；

5、采用HTTPS通信协议，防止数据明文传输；

一、Token授权认证

HTTP协议是无状态的，一次请求结束，连接断开，下次服务器再收到请求，它就不知道这个请求是哪个用户发过来的，但是对我们有权限访问限制的模块而言，它是需要有状态管理的，以便服务端能够准确的知道HTTP请求是哪个用户发起的，从而判断他是否有权限继续这个请求。

Token的设计方案是用户在客户端使用用户名和密码登录后，服务器会给客户端返回一个Token，并将Token以键值对的形式存放在缓存（一般是Redis）中，后续客户端对需要授权模块的所有操作都要带上这个Token，服务器端接收到请求后进行Token验证，如果Token存在，说明是授权的请求。

Token生成的设计要求：

1、应用