编写开放接口与思考

编写开放接口与思考

一、情景描述：

当一个项目开发一定程度时，会有跟合作厂商对接共同开发的情况，那么如果合作厂商想要使用你项目中的某个接口，你该如何把接口暴露给他们？

二、实现方式分析

1、因为现在接口大部分都需要携带token才能访问的，直接让这个接口免token访问是一种方式，也是最简单的方式，但是风险性太高，免token就相当于所有人都能够调用这个接口，不安全不推荐；

2、如果我们想要提供接口供别人调用，首先我们可以模仿市面上已有的提供对外接口的方式，站在巨人的肩膀上，让你更快一步

像市面上大部分的开放平台，都会提供很多开放的接口

• 微信公众号
  
• 海康威视开放平台
  
• 京东支付开放平台
  可以发现，这些开放平台都有一个共同的特点：
  提供的接口参数都需要像公钥，签名这样的加密参数进行校验，这些参数一般都是开放平台提供

也就不难猜出，如果要提供一个开放接口，在业务逻辑之上，要添加身份认证校验的功能

三、实现设计

结合已有的提供接口的方式，下面我来编写一个开放接口demo供大家参考

设计思路：

1、提供给调用者参数：appid，appkey
appid：身份id
appkey：公钥
解释：appid作为识别用户的标识，appkey公钥用来进行加密算法运算生成验证签名

2、加密规则：使用appid和appkey公钥+实时时间戳生成sign签名
3、使用方式：调用者使用appid和appkey公钥通过加密算法生成sign签名，然后把appid，sign，timestamp作为请求头来调用接口
timestamp：时间戳，如果超过范围则不允许调用接口
注意
1、既然要验证身份，那么创建身份也是需要由接口提供方来实现的；
2、创建好的身份信息建议入库保存；
3、为了保证时效性，添加timestamp参数；
只有三个参数都验证通过了，才能走接口业务代码

实现思路

1、验证appid

查询参数appid在数据库中是否存在，如果不存在则验证失败，如果存在则进入下一步

2、验证sign

查询参数sign是否满足自己要求的加密算法方式，如果不满足则sign比对不一致，如果满足则验签成功进入下一步

3、验证timestamp

查询timestamp是否在当前十分钟有效期内（时间要求可自定义），如果不满足则超时退出，满足则可进入业务层

四、代码实现

demo结构如下

controller层

@Slf4j
@RequestMapping("hello")
@RestController
public class HelloController {
    private static final long  diffMile = 900000;//15*60*1000毫秒=15分钟内有效
    @Value("${appsecret}")
    private String  appsecret;
    @Value("${appid}")
    private String  appid;
    @RequestMapping("/oneInterface")
    public Result oneInterface(HttpServletRequest request) {

        Result ret = new Result();
        String timestamp = request.getHeader("timestamp");
        String checkappid = request.getHeader("appid");
        String sign = request.getHeader("sign");
        if (checkappid == null || timestamp == null || sign == null) {
            log.info("请求参数缺少");
            return ret.fail("请求参数缺少");
        }
        if (!appid.equals(checkappid)) {//校验appid
            log.info("请求appid不正确");
            return ret.fail("请求appid不正确");
        }
        long nowTime = System.currentTimeMillis();
        long reqTime;
        try {
            reqTime = Long.parseLong(timestamp);
        } catch (Exception e) {
            log.info("时间戳转换异常", e);
            return ret.fail("时间戳转换异常");
        }
        if (Math.abs(nowTime - reqTime) > diffMile ) {//差值绝对值大于区间
            log.info("与服务器时间相差超过15分钟");
            return ret.fail("与服务器时间相差超过15分钟");
        }
        //校验签名
        String checksign = MD5Util.MD5Encode(appid.concat(appsecret).concat(timestamp), "UTF-8");
        if (!sign.equals(checksign)) {
            log.info("签名不正确");
            return ret.fail("签名不正确");
        }
        log.info("校验成功");

        //业务逻辑
        return ret.ok("接口调用成功");
    }
}

加密工具类

package com.windwoo.utils;

import java.security.MessageDigest;


public class MD5Util {

    private static String byteArrayToHexString(byte b[]) {
        StringBuffer resultSb = new StringBuffer();
        for (int i = 0; i < b.length; i++)
            resultSb.append(byteToHexString(b[i]));

        return resultSb.toString();
    }


    private static String byteToHexString(byte b) {
        int n = b;
        if (n < 0)
            n += 256;
        int d1 = n / 16;
        int d2 = n % 16;
        return hexDigits[d1] + hexDigits[d2];
    }


    public static String MD5Encode(String origin, String charsetname) {
        String resultString = null;
        try {
            resultString = new String(origin);
            MessageDigest md = MessageDigest.getInstance("MD5");
            if (charsetname == null || "".equals(charsetname))
                resultString = byteArrayToHexString(md.digest(resultString
                        .getBytes()));
            else
                resultString = byteArrayToHexString(md.digest(resultString
                        .getBytes(charsetname)));
        } catch (Exception exception) {
        }
        return resultString;
    }

    private static final String hexDigits[] = { "0", "1", "2", "3", "4", "5",
        "6", "7", "8", "9", "a", "b", "c", "d", "e", "f" };
}

上述代码使用的加密方式是对称加密，也就是提供者和使用者密钥appsecret是一样的

接口调试

在编写好接口后，还需要告诉调用者生成签名的方式，demo中实现方式是将appid，appsecret，timestamp字符串进行拼接然后md5加密

String sign = MD5Util.MD5Encode(appid.concat(appsecret).concat(timestamp), "UTF-8");

五、总结：

以上便是自定义开放接口全部步骤，当然校验的方式也有很多种，加密方式也有很多种，像对称加密，非对称加密，信息摘要，数字签名等，不同的加密算法对应着不同的应用场景，大家可以选择适合的方式来调整