boot数据加解密 spring_SpringBoot写API接口,如何提高API的安全性,数据加解密方案

概述

前后端分离的项目中,数据交互都通过接口交互,接口的安全性很重要，对于传输的数据进行加密解密是很有必要的。

如何保证API调用时数据的安全性:

通信使用https

请求签名，防止参数被篡改

身份确认机制，每次请求都要验证是否合法

APP中使用ssl pinning防止抓包操作

对所有请求和响应都进行加解密操作

image.png

Springboot中使用AES对称算法加密解密数据

1.在pom.xml文件中加入依赖

commons-codec

commons-codec

1.10

创建com.zhlab.demo.encrypt包,存放加解密核心代码

代码不一一讲解了，目录如下:

代码结构

加解密工具核心类:AesEncryptUtil.java

package com.zhlab.demo.encrypt.utils;

import org.apache.tomcat.util.codec.binary.Base64;

import javax.crypto.Cipher;

import javax.crypto.KeyGenerator;

import javax.crypto.spec.SecretKeySpec;

import java.nio.charset.StandardCharsets;

/**

* @ClassName AesEncryptUtil

* @Description //AES加密解密工具

* @Author singleZhang

* @Email 405780096@qq.com

* @Date 2021/1/7 0007 下午 3:28

**/

public class AesEncryptUtil {

private static final String KEY = "d7b85f6e214abcda";

private static final String ALGORITHM_STR = "AES/ECB/PKCS5Padding";

public static String base64Encode(byte[] bytes) {

return Base64.encodeBase64String(bytes);

}

public static byte[] base64Decode(String base64Code) throws Exception {

return Base64.decodeBase64(base64Code);

}

public static byte[] aesEncryptToBytes(String content, String encryptKey) throws Exception {

KeyGenerator kgen = KeyGenerator.getInstance("AES");

kgen.init(128);

Cipher cipher = Cipher.getInstance(ALGORITHM_STR);

cipher.init(Cipher.ENCRYPT_MODE, new SecretKeySpec(encryptKey.getBytes(), "AES"));

return cipher.doFinal(content.getBytes(StandardCharsets.UTF_8));

}

public static String aesEncrypt(String content, String encryptKey) throws Exception {

return base64Encode(aesEncryptToBytes(content, encryptKey));

}

public static String aesDecryptByBytes(byte[] encryptBytes, String decryptKey) throws Exception {

KeyGenerator kgen = KeyGenerator.getInstance("AES");

kgen.init(128);

Cipher cipher = Cipher.getInstance(ALGORITHM_STR);

cipher.init(Cipher.DECRYPT_MODE, new SecretKeySpec(decryptKey.getBytes(), "AES"));

byte[] decryptBytes = cipher.doFinal(encryptBytes);

return new String(decryptBytes, StandardCharsets.UTF_8);

}

public static String aesDecrypt(String encryptStr, String decryptKey) throws Exception {

return aesDecryptByBytes(base64Decode(encryptStr), decryptKey);

}

// TODO TEST

public static void main(String[] args) throws Exception {

String content = "SingleZhang2021";

System.out.println("加密前：" + content);

String encrypt = aesEncrypt(content, KEY);

System.out.println(encrypt.length() + ":加密后：" + encrypt);

String decrypt = aesDecrypt(encrypt, KEY);

System.out.println("解密后：" + decrypt);

}

}

前端如果是web,需要一个js加密包crypto-js.js来实现AES加密

前端部分代码如下:

var key = CryptoJS.enc.Utf8.parse("abcdef0123456780");

//加密

function Encrypt(word) {

var srcs = CryptoJS.enc.Utf8.parse(word);

var encrypted = CryptoJS.AES.encrypt(srcs, key, {

mode: CryptoJS.mode.ECB,

padding: CryptoJS.pad.Pkcs7

});

return encrypted.toString();

}

//解密

function Decrypt(word) {

var decrypt = CryptoJS.AES.decrypt(word, key, {

mode: CryptoJS.mode.ECB,

padding: CryptoJS.pad.Pkcs7

});

return CryptoJS.enc.Utf8.stringify(decrypt).toString();

}

在接口中，通过注解来选择性加解密,可以避免性能降低的风险

/**

* post请求->一个参数使用@Decrypt注解解密

*

* @param username

* @return

* @throws Exception

*/

@Encrypt

@Decrypt

@PostMapping("/postStrData2")

public String postStrData2(@RequestBody String username) throws Exception {

System.out.println("username: " + username);

return "加密字符串";

}

/**

* post请求->发送并获取实体类数据,使用@Decrypt注解解密

*/

@Encrypt

@Decrypt

@PostMapping("/encryptDto")

public UserDto encryptDto(@RequestBody UserDto dto) {

System.err.println(dto.getId() + "\t" + dto.getName());

return dto;

}

在启动类上加上@EnableEncrypt 注解

@EnableEncrypt

@SpringBootApplication(exclude = { DataSourceAutoConfiguration.class })

public class DemoApplication {

public static void main(String[] args) {

SpringApplication.run(DemoApplication.class, args);

}

}

好了,做完以上的工作,请求接口的数据就相对比之前安全许多,至少对一些爬虫工程师会造成一点困扰。

代码已传git

非对称加密算法思路

这个留给大家自己去动手实践,思路如下:

1、客户端启动，发送请求到服务端，服务端用RSA算法生成一对公钥和私钥，我们简称为publickey1,privatekey1，将公钥publickey1返回给客户端。

2、客户端拿到服务端返回的公钥publickey1后，自己用RSA算法生成一对公钥和私钥，我们简称为publickey2,privatekey2，并将公钥publickey2通过公钥publickey1加密，加密之后传输给服务端。

3、此时服务端收到客户端传输的密文，用私钥privatekey1进行解密，因为数据是用公钥publickey1加密的，通过解密就可以得到客户端生成的公钥publickey2

4、然后自己在生成对称加密，也就是我们的AES,其实也就是相对于我们配置中的那个16的长度的加密key,生成了这个key之后我们就用公钥publickey2进行加密，返回给客户端，因为只有客户端有publickey2对应的私钥privatekey2，只有客户端才能解密，客户端得到数据之后，用privatekey2进行解密操作，得到AES的加密key,最后就用加密key进行数据传输的加密

加签验签概念

加签：

用Hash函数把原始报文生成报文摘要，然后用私钥对这个摘要进行加密，就得到这个报文对应的数字签名。通常来说呢，请求方会把「数字签名和报文原文」一并发送给接收方。

验签：

接收方拿到原始报文和数字签名后，用同一个Hash函数从报文中生成摘要A。另外，用对方提供的公钥对数字签名进行解密，得到摘要B，对比A和B是否相同，就可以得知报文有没有被篡改过。

验签

这里以简单的md5为例:

将请求参数中的各个键值对按照key的字符串顺序升序排列(大小写敏感)，把key和value拼成一串之后最后加上密钥，组成key1value1key2value2PRIVATEKEY的格式，转成utf-8编码的字节序列后计算md5，作为请求的签名。计算出来的签名串应当全为小写形式。如果某个参数的值为空，则此参数不参与签名。

例如，C为客户端，S为服务器端。C向S发出请求,C传的参数有A=a,B=b,C=c，除此之外，还需要传递一个签名摘要参数sign。sign = md5(AaBbCc+PRIVATEKEY) 其中+表示字符串连接，md5算法，可以替换为一些更为复杂的签名算法，其中PRIVATEKEY是双方商定好的私钥.

服务器端用同样的方法来进行签名验证。这里最好加上timestamp时间戳和nonce随机字符串。

总结

这些加解密对于算力有要求，会消耗性能，对于重要数据的接口才考虑加密操作。