java token guid_WebApi安全性 使用TOKEN+签名验证 (秘钥是GUID的,私有的，不是雙方的，并不在网络连接上传输)...

最新推荐文章于 2022-12-02 19:20:30 发布
最新推荐文章于 2022-12-02 19:20:30 发布
阅读量228 收藏 1
点赞数 1
文章标签： java token guid
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_42510360/article/details/114139845
版权

首先问大家一个问题，你在写开放的API接口时是如何保证数据的安全性的？先来看看有哪些安全性问题在开放的api接口中，我们通过http Post或者Get方式请求服务器的时候，会面临着许多的安全性问题，例如：

请求来源(身份)是否合法？

请求参数被篡改？

请求的唯一性(不可复制)，防止请求被恶意攻击

为了保证数据在通信时的安全性，我们可以采用TOKEN+参数签名的方式来进行相关验证。

比如说我们客户端需要查询产品信息这个操作来进行分析，客户端点击查询按钮==》调用服务器端api进行查询==》服务器端返回查询结果

一、不进行验证的方式

api查询接口：

客户端调用：http://api.XXX.com/getproduct?id=value1

如上，这种方式简单粗暴，在浏览器直接输入"http://api.XXX.com/getproduct?id=value1"，即可获取产品列表信息了，但是这样的方式会存在很严重的安全性问题，没有进行任何的验证，大家都可以通过这个方法获取到产品列表，导致产品信息泄露。

那么，如何验证调用者身份呢？如何防止参数被篡改呢？如何保证请求的唯一性？ 如何保证请求的唯一性，防止请求被恶意攻击呢？

二、使用TOKEN+签名认证 保证请求安全性

token+签名认证的主要原理是：1.做一个认证服务，提供一个认证的webapi，用户先访问它获取对应的token

2.用户拿着相应的token以及请求的参数和服务器端提供的签名算法计算出签名后再去访问指定的api

3.服务器端每次接收到请求就获取对应用户的token和请求参数，服务器端再次计算签名和客户端签名做对比，如果验证通过则正常访问相应的api，验证失败则返回具体的失败信息

具体代码如下 ：

1.用户请求认证服务GetToken，将TOKEN保存在服务器端缓存中，并返回对应的TOKEN到客户端(该请求不需要进行签名认证)

48304ba5e6f9fe08f3fa1abda7d326ab.png

public HttpResponseMessage GetToken(string staffId)

{

ResultMsg resultMsg = null;

int id = 0;

//判断参数是否合法

if (string.IsNullOrEmpty(staffId) || (!int.TryParse(staffId, out id)))

{

resultMsg = new ResultMsg();

resultMsg.StatusCode = (int)StatusCodeEnum.ParameterError;

resultMsg.Info = StatusCodeEnum.ParameterError.GetEnumText();

resultMsg.Data = "";

return HttpResponseExtension.toJson(JsonConvert.SerializeObject(resultMsg));

}

//插入缓存

Token token =(Token)HttpRuntime.Cache.Get(id.ToString());

if (HttpRuntime.Cache.Get(id.ToString()) == null)

{

token = new Token();

token.StaffId = id;

token.SignToken = Guid.NewGuid();

token.ExpireTime = DateTime.Now.AddDays(1);

HttpRuntime.Cache.Insert(token.StaffId.ToString(), token, null, token.ExpireTime, TimeSpan.Zero);

}

//返回token信息

resultMsg =new ResultMsg();

resultMsg.StatusCode = (int)StatusCodeEnum.Success;

resultMsg.Info = "";

resultMsg.Data = token;

return HttpResponseExtension.toJson(JsonConvert.SerializeObject(resultMsg));

}

48304ba5e6f9fe08f3fa1abda7d326ab.png

2.客户端调用服务器端API，需要对请求进行签名认证，签名方式如下

(1) get请求：按照请求参数名称将所有请求参数按照字母先后顺序排序得到：keyvaluekeyvalue...keyvalue  字符串如：将arong=1,mrong=2,crong=3 排序为：arong=1, crong=3,mrong=2  然后将参数名和参数值进行拼接得到参数字符串：arong1crong3mrong2。

48304ba5e6f9fe08f3fa1abda7d326ab.png

public static Tuple GetQueryString(Dictionary parames)

{

// 第一步：把字典按Key的字母顺序排序

IDictionary sortedParams = new SortedDictionary(parames);

IEnumerator> dem = sortedParams.GetEnumerator();

// 第二步：把所有参数名和参数值串在一起

StringBuilder query = new StringBuilder(""); //签名字符串

StringBuilder queryStr = new StringBuilder(""); //url参数

if (parames == null || parames.Count == 0)

return new Tuple("","");

while (dem.MoveNext())

{

string key = dem.Current.Key;

string value = dem.Current.Value;

if (!string.IsNullOrEmpty(key))

{

query.Append(key).Append(value);

queryStr.Append("&").Append(key).Append("=").Append(value);

}

}

return new Tuple(query.ToString(), queryStr.ToString().Substring(1, queryStr.Length - 1));

}

48304ba5e6f9fe08f3fa1abda7d326ab.png

post请求：将请求的参数对象序列化为json格式字符串

Product product = new Product() { Id = 1, Name = "安慕希", Count = 10, Price = 58.8 };

var data=JsonConvert.SerializeObject(product);

(2)在请求头中添加timespan(时间戳)，nonce(随机数)，staffId(用户Id)，signature(签名参数)

//加入头信息

request.Headers.Add("staffid", staffId.ToString()); //当前请求用户StaffId

request.Headers.Add("timestamp", timeStamp); //发起请求时的时间戳(单位：毫秒)

request.Headers.Add("nonce", nonce); //发起请求时的时间戳(单位：毫秒)

request.Headers.Add("signature", GetSignature(timeStamp,nonce,staffId,data)); //当前请求内容的数字签名

(3)根据请求参数计算本次请求的签名，用timespan+nonc+staffId+token+data(请求参数字符串)得到signStr签名字符串，然后再进行排序和MD5加密得到最终的signature签名字符串，添加到请求头中

48304ba5e6f9fe08f3fa1abda7d326ab.png

private static string GetSignature(string timeStamp,string nonce,int staffId,string data)

{

Token token = null;

var resultMsg = GetSignToken(staffId);

if (resultMsg != null)

{

if (resultMsg.StatusCode == (int)StatusCodeEnum.Success)

{

token = resultMsg.Result;

}

else

{

throw new Exception(resultMsg.Data.ToString());

}

}

else

{

throw new Exception("token为null，员工编号为：" +staffId);

}

var hash = System.Security.Cryptography.MD5.Create();

//拼接签名数据

var signStr = timeStamp +nonce+ staffId + token.SignToken.ToString() + data;

//将字符串中字符按升序排序

var sortStr = string.Concat(signStr.OrderBy(c => c));

var bytes = Encoding.UTF8.GetBytes(sortStr);

//使用MD5加密

var md5Val = hash.ComputeHash(bytes);

//把二进制转化为大写的十六进制

StringBuilder result = new StringBuilder();

foreach (var c in md5Val)

{

result.Append(c.ToString("X2"));

}

return result.ToString().ToUpper();

}

48304ba5e6f9fe08f3fa1abda7d326ab.png

(4) webapi接收到相应的请求，取出请求头中的timespan，nonc，staffid，signature 数据，根据timespan判断此次请求是否失效，根据staffid取出相应token判断token是否失效，根据请求类型取出对应的请求参数，然后服务器端按照同样的规则重新计算请求签名，判断和请求头中的signature数据是否相同，如果相同的话则是合法请求，正常返回数据，如果不相同的话，该请求可能被恶意篡改，禁止访问相应的数据，返回相应的错误信息

如下使用全局过滤器拦截所有api请求进行统一的处理

48304ba5e6f9fe08f3fa1abda7d326ab.png

public class ApiSecurityFilter : ActionFilterAttribute

{

public override void OnActionExecuting(System.Web.Http.Controllers.HttpActionContext actionContext)

{

ResultMsg resultMsg = null;

var request = actionContext.Request;

string method = request.Method.Method;

string staffid = String.Empty, timestamp = string.Empty, nonce = string.Empty, signature = string.Empty;

int id = 0;

if (request.Headers.Contains("staffid"))

{

staffid = HttpUtility.UrlDecode(request.Headers.GetValues("staffid").FirstOrDefault());

}

if (request.Headers.Contains("timestamp"))

{

timestamp = HttpUtility.UrlDecode(request.Headers.GetValues("timestamp").FirstOrDefault());

}

if (request.Headers.Contains("nonce"))

{

nonce = HttpUtility.UrlDecode(request.Headers.GetValues("nonce").FirstOrDefault());

}

if (request.Headers.Contains("signature"))

{

signature = HttpUtility.UrlDecode(request.Headers.GetValues("signature").FirstOrDefault());

}

//GetToken方法不需要进行签名验证

if (actionContext.ActionDescriptor.ActionName == "GetToken")

{

if (string.IsNullOrEmpty(staffid) || (!int.TryParse(staffid, out id) || string.IsNullOrEmpty(timestamp) || string.IsNullOrEmpty(nonce)))

{

resultMsg = new ResultMsg();

resultMsg.StatusCode = (int)StatusCodeEnum.ParameterError;

resultMsg.Info = StatusCodeEnum.ParameterError.GetEnumText();

resultMsg.Data = "";

actionContext.Response = HttpResponseExtension.toJson(JsonConvert.SerializeObject(resultMsg));

base.OnActionExecuting(actionContext);

return;

}

else

{

base.OnActionExecuting(actionContext);

return;

}

}

//判断请求头是否包含以下参数

if (string.IsNullOrEmpty(staffid) || (!int.TryParse(staffid, out id) || string.IsNullOrEmpty(timestamp) || string.IsNullOrEmpty(nonce) || string.IsNullOrEmpty(signature)))

{

resultMsg = new ResultMsg();

resultMsg.StatusCode = (int)StatusCodeEnum.ParameterError;

resultMsg.Info = StatusCodeEnum.ParameterError.GetEnumText();

resultMsg.Data = "";

actionContext.Response = HttpResponseExtension.toJson(JsonConvert.SerializeObject(resultMsg));

base.OnActionExecuting(actionContext);

return;

}

//判断timespan是否有效

double ts1 = 0;

double ts2 = (DateTime.UtcNow - new DateTime(1970, 1, 1, 0, 0, 0, 0)).TotalMilliseconds;

bool timespanvalidate = double.TryParse(timestamp, out ts1);

double ts = ts2 - ts1;

bool falg = ts > int.Parse(WebSettingsConfig.UrlExpireTime) * 1000;

if (falg || (!timespanvalidate))

{

resultMsg = new ResultMsg();

resultMsg.StatusCode = (int)StatusCodeEnum.URLExpireError;

resultMsg.Info = StatusCodeEnum.URLExpireError.GetEnumText();

resultMsg.Data = "";

actionContext.Response = HttpResponseExtension.toJson(JsonConvert.SerializeObject(resultMsg));

base.OnActionExecuting(actionContext);

return;

}

//判断token是否有效

Token token = (Token)HttpRuntime.Cache.Get(id.ToString());

string signtoken = string.Empty;

if (HttpRuntime.Cache.Get(id.ToString()) == null)

{

resultMsg = new ResultMsg();

resultMsg.StatusCode = (int)StatusCodeEnum.TokenInvalid;

resultMsg.Info = StatusCodeEnum.TokenInvalid.GetEnumText();

resultMsg.Data = "";

actionContext.Response = HttpResponseExtension.toJson(JsonConvert.SerializeObject(resultMsg));

base.OnActionExecuting(actionContext);

return;

}

else

{

signtoken = token.SignToken.ToString();

}

//根据请求类型拼接参数

NameValueCollection form = HttpContext.Current.Request.QueryString;

string data = string.Empty;

switch (method)

{

case "POST":

Stream stream = HttpContext.Current.Request.InputStream;

string responseJson = string.Empty;

StreamReader streamReader = new StreamReader(stream);

data = streamReader.ReadToEnd();

break;

case "GET":

//第一步：取出所有get参数

IDictionary parameters = new Dictionary();

for (int f = 0; f < form.Count; f++)

{

string key = form.Keys[f];

parameters.Add(key, form[key]);

}

// 第二步：把字典按Key的字母顺序排序

IDictionary sortedParams = new SortedDictionary(parameters);

IEnumerator> dem = sortedParams.GetEnumerator();

// 第三步：把所有参数名和参数值串在一起

StringBuilder query = new StringBuilder();

while (dem.MoveNext())

{

string key = dem.Current.Key;

string value = dem.Current.Value;

if (!string.IsNullOrEmpty(key))

{

query.Append(key).Append(value);

}

}

data = query.ToString();

break;

default:

resultMsg = new ResultMsg();

resultMsg.StatusCode = (int)StatusCodeEnum.HttpMehtodError;

resultMsg.Info = StatusCodeEnum.HttpMehtodError.GetEnumText();

resultMsg.Data = "";

actionContext.Response = HttpResponseExtension.toJson(JsonConvert.SerializeObject(resultMsg));

base.OnActionExecuting(actionContext);

return;

}

bool result = SignExtension.Validate(timestamp, nonce, id, signtoken,data, signature);

if (!result)

{

resultMsg = new ResultMsg();

resultMsg.StatusCode = (int)StatusCodeEnum.HttpRequestError;

resultMsg.Info = StatusCodeEnum.HttpRequestError.GetEnumText();

resultMsg.Data = "";

actionContext.Response = HttpResponseExtension.toJson(JsonConvert.SerializeObject(resultMsg));

base.OnActionExecuting(actionContext);

return;

}

else

{

base.OnActionExecuting(actionContext);

}

}

public override void OnActionExecuted(HttpActionExecutedContext actionExecutedContext)

{

base.OnActionExecuted(actionExecutedContext);

}

}

48304ba5e6f9fe08f3fa1abda7d326ab.png

然后我们进行测试，检验api请求的合法性

Get请求：

1.获取产品数据，传递参数id=1，name="wahaha"  ,完整请求为http://localhost:14826/api/product/getproduct?id=1&name=wahaha

a3e63745ad3e9901ea33718aaeec3f48.png

2.请求头添加timespan，staffid，nonce，signature字段

8169151b207519cacda7271ff91e32c8.png

3.如图当data里面的值为id1namewahaha的时候请求头中的signature和服务器端计算出来的result的值是完全一样的，当我将data修改为id1namewahaha1之后，服务器端计算出来的签名result和请求头中提交的signature就不相同了，就表示为不合法的请求了

df298e523ca1cab54e8695e34cc729a2.png

4.不合法的请求就会被识别为请求参数已被修改

eb0ecd3583a0132cf8111ac697ad7545.png

合法的请求则会返回对应的商品信息

882528b5cb77c8314db48b93d9a891e4.png

post请求：

1.post对象序列化为json字符串后提交到后台，后台返回相应产品信息

5484f1c69d1fefe6b6e1449eab865e1a.png

2.后台获取请求的参数信息

e94dbb586c5e9154ca8994522168aee1.png

3.判断签名是否成功，第一次请求签名参数signature和服务器端计算result完全相同， 然后当把请求参数中count的数量从10改成100之后服务器端计算的result和请求签名参数signature不同，所以请求不合法，是非法请求，同理如果其他任何参数被修改最后计算的结果都会和签名参数不同，请求同样识别为不合法请求

c78ac056e55e6eddc153cfb30410378b.png

总结：

通过上面的案例，我们可以看出，安全的关键在于参与签名的TOKEN，整个过程中TOKEN是不参与通信的，所以只要保证TOKEN不泄露，请求就不会被伪造。

然后我们通过timestamp时间戳用来验证请求是否过期，这样就算被人拿走完整的请求链接也是无效的。

Sign签名的方式能够在一定程度上防止信息被篡改和伪造，保障通信的安全

源码地址：https://github.com/13138899620/TokenSign

SEX专家
关注
  • 1
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
JMeter 从GET请求中获取到参数并排序进行MD5加密（更新）
喜欢吃糖丶的博客
01-06 8885
从get请求中获取到url的所有参数，根据参数名进行字母排序（顺序），排序好之后加上 appsecurity 参数进行两次MD5加密作为token，将token放入参数一起请求
【java】java接口安全之接口签名
YuChen
11-28 3029
自定义的接口签名解签工具类
【JavaEE】JavaScript（WebAPI）
Xian meng在努力呐-的博客
12-02 681
1. dom获取/操作元素以及操作节点 2. 事件 3. 实例
如何使用java调用c#提供的webapi接口
weixin_59244784的博客
02-16 2569
如何使用java调用c#提供的webapi接口
java实现api接口的token,App开放接口API安全性 — Token签名sign的设计与实现详解
weixin_39936310的博客
03-22 1053
在app开放接口API的设计中，避免不了的就是安全性问题。一、https协议对于一些敏感的API接口，需要使用https协议。https是在http超文本传输协议加入SSL层，它在网络间通信是加密的，所以需要加密证书。二、签名设计原理：用户登录后向服务器提供用户认证信息(如账户和密码)，服务器认证完后给客户端返回一个Token令牌，用户再次获取信息时，带上此令牌，如果令牌正确，则返回数据。对于获取...
AdaloExtensionPack:与C＃Web应用程序一起使用的Adalo扩展
04-13
将C＃Web应用程序连接到Adalo表API的助手 用法 经典桌 在Startup.cs文件中，添加方法ConfigureServices（）： services.AddAdalo(x => { x.Token = "[your API token here]"; x.AppId = Guid.Parse("[your ...
关于nancy中的身份验证
09-03
在Nancy框架中，身份验证是确保只有...理解并正确实现Token验证可以显著增强应用程序的安全性，并适应现代Web和API的需求。在实际开发中，你需要根据项目需求选择合适的验证方式，并确保安全地存储和传输身份验证信息。
asp.net+注册后自动发送邮件，通过链接进行验证
07-25
生成这个链接时，可以使用`Guid`类生成唯一ID，然后将其编码成URL安全的字符串，附加到验证URL上。ASP.NET MVC或Web API可以提供处理该链接的控制器方法。 4. **URL路由**：在ASP.NET中，URL路由允许开发者自定义...
Authentication_JWT:认证_JWT
04-19
**认证JWT：基于C#的身份验证机制** JWT（JSON Web Token）是一种轻量级的身份验证标准，广泛应用于现代Web应用程序中。...在C#中，我们可以方便地使用内置库来生成和验证JWT，确保了应用的安全性。
ASP.Net Core3.0中使用JWT认证的实现
10-15
在WebAPI控制器中，你可以根据用户提供的凭据调用此方法来签发JWT，并将其作为响应返回。客户端随后将此令牌附在后续请求的`Authorization`头中，服务器通过验证令牌来确认用户身份。 总的来说，ASP.NET Core 3.0中...
Token认证签名加密
09-10
这个是写与第三方接口对接的事例代码，上面写的比较通俗易懂，很容易理解，有注解，没做过第三方接口对接的小朋友照抄就行，
webapi token验证例子
06-05
webapi token验证例子
记一次webapi使用Cache特性被缓存击穿的问题
atzqtzq的博客
10-28 777
记一次webapi使用Cache特性被缓存击穿的问题
java实现api接口的token,基于Token的API接口认证机制
weixin_36342477的博客
03-22 3967
Cookie AuthCookie认证机制就是为一次请求认证在服务端创建一个Session对象，同时在客户端的浏览器端创建了一个Cookie对象；通过客户端带上来Cookie对象来与服务器端的session对象匹配来实现状态管理的。默认的，当我们关闭浏览器的时候，cookie会被删除。但可以通过修改cookie 的expire time使cookie在一定时间内有效。Token Auth的优点To...
利用JWT生成Token的原理及公钥和私钥加密和解密的原则
热门推荐
weixin_42030357的博客
07-12 3万+
开篇： 实现Token的方式有很多，本篇介绍的是利用Json Web Token(JWT)生成的Token.JWT生成的Token有什么好处呢？ 安全性比较高，加上密匙加密而且支持多种算法。 携带的信息是自定义的，而且可以做到验证token是否过期。 验证信息可以由前端保存，后端不需要为保存token消耗内存。 小知识：Base64是一种编码，也就是说，它是可以被翻译回原来的样子来的。它并不是一...
token生成算法 java_Java实现token的生成与验证-登录功能
weixin_35278121的博客
02-16 1298
一、token与cookie相比较的优势1、支持跨域访问，将token置于请求头中，而cookie是不支持跨域访问的；2、无状态化，服务端无需存储token，只需要验证token信息是否正确即可，而session需要在服务端存储，一般是通过cookie中的sessionID在服务端查找对应的session；3、无需绑定到一个特殊的身份验证方案(传统的用户名密码登陆)，只需要生成的token是符合我...
java token生成和验证_Java Token登录验证 生成解析Token
weixin_36383052的博客
02-16 2991
借鉴参考Java Token登录验证 使用jjwt生成和解析JWTjava基于token验证之登陆验证等什么是Token？我的理解来说 token就是你访问服务器的口令，只要token合法，正确，你就能获取到后端数据当用户第一次登陆后，用户名密码验证成功后，服务器会生成一个token，把token返回到客户端，一般token都是储存在浏览器的localStorage 或 cookies中，存在lo...
java token生成规则_token的生成原理 使用方法!
weixin_32822843的博客
02-27 7208
什么是token?Token是服务端生成的一串字符串，以作客户端进行请求的一个令牌，当第一次登录后，服务器生成一个Token便将此Token返回给客户端，以后客户端只需带上这个Token前来请求数据即可，无需再次带上用户名和密码。基于 Token 的身份验证使用基于 Token 的身份验证方法，在服务端不需要存储用户的登录记录。流程是这样的：1.客户端使用用户名跟密码请求登录2.服务端收到请求，去...
webapi接口不配置token验证可以吗
最新发布
05-25
如果你的 Web API 不进行任何身份验证，那么任何人都可以访问它，并且可能会导致安全问题。如果你的 Web API 是公共的，那么你可以考虑使用其他安全措施，例如 IP 地址限制、防火墙等。但是如果你的 Web API 涉及到...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值