post 防篡改_安全|API接口安全性设计（防篡改和重复调用）

API接口的安全性主要是为了保证数据不会被篡改和重复调用，实现方案主要围绕Token、时间戳和Sign三个机制展开设计。

1. Token授权机制

用户使用用户名密码登录后服务器给客户端返回一个Token(必须要保证唯一，可以结合UUID和本地设备标示)，并将Token-UserId以键值对的形式存放在缓存服务器中(我们是使用Redis)，并要设置失效时间。服务端接收到请求后进行Token验证，如果Token不存在，说明请求无效。Token是客户端访问服务端的凭证。

# uuid 是手机设备的唯一标示

String token = UUID.randomUUID().toString() + "_" + uuid;

2. 时间戳超时机制

用户每次请求都带上当前时间的时间戳timestamp，服务端接收到timestamp后跟当前时间进行比对，如果时间差大于一定时间(比如30秒)，则认为该请求失效。时间戳超时机制是防御重复调用和爬取数据的有效手段。

当然这里需要注意的地方是保证客户端和服务端的“当前时间”是一致的，我们采取的对齐方式是客户端第一次连接服务端时请求一个接口获取服务端的当前时间A1，再和客户端的当前时间B1做一个差异化计算(A1-B1=AB)，得出差异值AB，客户端再后面的请求中都是传B1+AB给到服务端。

// timeStamp是客户端从Header传过来的值

Long timeStamp = RequestHeaderContext.getInstance().getTimeStamp();

boolean checkTime = checkTime(timeStamp, 30 * 1000);

if (!checkTime) {