互联网安全架构二（互联网API接口幂等设计）

目录

 

API接口幂等性设计方案

MVCC方案

去重表

悲观锁

Token机制,防止页面重复提交

　业务要求：

　发生原因：

   解决办法：

基于Token方式防止API接口幂等代码实现

生成令牌接口

接口中获取令牌验证

用redis实现

BaseRedisService封装Redis

RedisTokenUtils工具类

自定义Api幂等注解和切面

幂等注解使用

 

---

API接口幂等性设计方案

 

MVCC方案

　多版本并发控制，该策略主要使用 update with condition（更新带条件来防止）来保证多次外部请求调用对系统的影响是一致的。在系统设计的过程中，合理的使用乐观锁，通过 version 或者 updateTime（timestamp）等其他条件，来做乐观锁的判断条件，这样保证更新操作即使在并发的情况下，也不会有太大的问题。例如

  select * from tablename where condition=#condition# // 取出要跟新的对象，带有版本 versoin

  update tableName set name=#name#,version=version+1 where version=#version#

 在更新的过程中利用 version 来防止，其他操作对对象的并发更新，导致更新丢失。为了避免失败，通常需要一定的重试机制。

去重表

在插入数据的时候，插入去重表，利用数据库的唯一索引特性，保证唯一的逻辑。

悲观锁

select for update，整个执行过程中锁定该订单对应的记录。注意：这种在 DB 读大于写的情况下尽量少用。

Token机制,防止页面重复提交

　业务要求：

       页面的数据只能被点击提交一次

　发生原因：

  由于重复点击或者网络重发，或者 nginx 重发等情况会导致数据被重复提交

   解决办法：

  集群环境：

  采用 token 加 redis（redis 单线程的，处理需要排队）

单 JVM 环境：

采用 token 加 redis 或 token 加 jvm 内存

  处理流程：

数据提交前要向服务的申请 token，token 放到 redis 或 jvm 内存，token 有效时间

提交后后台校验 token，同时删除 token，生成新的 token 返回

token 特点:要申请，一次有效性，可以限流

基于Token方式防止API接口幂等代码实现

客户端每次在调用接口的时候,需要在请求头中，传递令牌参数，每次令牌只能用一次。

一旦使用之后，就会被删除，这样可以有效防止重复提交。

步骤:

1.生成令牌接口

2. 接口中获取令牌验证

 

生成令牌接口

public class TokenUtils {         private static Map<String, Object> tokenMap = new ConcurrentHashMap<String, Object>();         // 获取token       public static synchronized String getToken() {             // 1.生成令牌             String token = "token-" + System.currentTimeMillis();             // 2.存入tokenMap             tokenMap.put(token, token);             return token;       }         // 验证token,并且删除对应的token       public static Boolean exisToken(String token) {             // 1.从集合中获取token             Object result = tokenMap.get(token);             if (result == null) {                   return false;             }             // 2.删除对应的token             tokenMap.remove(token);             return true;       } }

接口中获取令牌验证

 

@RestController public class OrderController {         @Autowired       private OrderMapper orderMapper;         // 获取Token       @RequestMapping("/getToken")       public String getToken() {             return TokenUtils.getToken();       }         // 验证Token       @RequestMapping(value = "/addOrder", produces = "application/json; charset=utf-8")       public String addOrder(@RequestBody OrderEntity orderEntity, HttpServletRequest request) {             String token = request.getHeader("token");             if (StringUtils.isEmpty(token)) {                   return "参数错误!";             }             if (!TokenUtils.exisToken(token)) {                   return "请勿重复提交!";             }             int result = orderMapper.addOrder(orderEntity);             return result > 0 ? "添加成功" : "添加失败" + "";       }   }

 

用redis实现

BaseRedisService封装Redis

@Component public class BaseRedisService {         @Autowired       private StringRedisTemplate stringRedisTemplate;         public void setString(String key, Object data, Long timeout) {             if (data instanceof String) {                   String value = (String) data;                   stringRedisTemplate.opsForValue().set(key, value);             }             if (timeout != null) {                   stringRedisTemplate.expire(key, timeout, TimeUnit.SECONDS);             }       }         public Object getString(String key) {             return stringRedisTemplate.opsForValue().get(key);       }         public void delKey(String key) {             stringRedisTemplate.delete(key);       }   }

 

 

 

 

RedisTokenUtils工具类

@Component public class RedisTokenUtils {       private long timeout = 60 * 60;       @Autowired       private BaseRedisService baseRedisService;         // 将token存入在redis       public String getToken() {             String token = "token" + System.currentTimeMillis();             baseRedisService.setString(token, token, timeout);             return token;       }         public boolean findToken(String tokenKey) {             String token = (String) baseRedisService.getString(tokenKey);             if (StringUtils.isEmpty(token)) {                   return false;             }             // token 获取成功后 删除对应tokenMapstoken             baseRedisService.delKey(token);             return true;       }   }

 

自定义Api幂等注解和切面

 

@Target(value = ElementType.METHOD) @Retention(RetentionPolicy.RUNTIME) public @interface ExtApiIdempotent {       String value(); }

 

 

 

@Aspect @Component public class ExtApiAopIdempotent {       @Autowired       private RedisTokenUtils redisTokenUtils;         @Pointcut("execution(public * com.itmayiedu.controller.*.*(..))")       public void rlAop() {       }         @Around("rlAop()")       public Object doBefore(ProceedingJoinPoint proceedingJoinPoint) throws Throwable {             MethodSignature signature = (MethodSignature) proceedingJoinPoint.getSignature();             ExtApiIdempotent extApiIdempotent = signature.getMethod().getDeclaredAnnotation(ExtApiIdempotent.class);             if (extApiIdempotent == null) {                   // 直接执行程序                   Object proceed = proceedingJoinPoint.proceed();                   return proceed;             }             // 代码步骤：             // 1.获取令牌 存放在请求头中             HttpServletRequest request = getRequest();             String token = request.getHeader("token");             if (StringUtils.isEmpty(token)) {                   response("参数错误!");                   return null;             }             // 2.判断令牌是否在缓存中有对应的令牌             // 3.如何缓存没有该令牌的话，直接报错（请勿重复提交）             // 4.如何缓存有该令牌的话，直接执行该业务逻辑             // 5.执行完业务逻辑之后，直接删除该令牌。             if (!redisTokenUtils.findToken(token)) {                   response("请勿重复提交!");                   return null;             }             Object proceed = proceedingJoinPoint.proceed();             return proceed;       }         public HttpServletRequest getRequest() {             ServletRequestAttributes attributes = (ServletRequestAttributes) RequestContextHolder.getRequestAttributes();             HttpServletRequest request = attributes.getRequest();             return request;       }         public void response(String msg) throws IOException {             ServletRequestAttributes attributes = (ServletRequestAttributes) RequestContextHolder.getRequestAttributes();             HttpServletResponse response = attributes.getResponse();             response.setHeader("Content-type", "text/html;charset=UTF-8");             PrintWriter writer = response.getWriter();             try {                   writer.println(msg);             } catch (Exception e) {               } finally {                   writer.close();             }         }   }

 

 

 

幂等注解使用

// 从redis中获取Token       @RequestMapping("/redisToken")       public String RedisToken() {             return redisTokenUtils.getToken();       }         // 验证Token       @RequestMapping(value = "/addOrderExtApiIdempotent", produces = "application/json; charset=utf-8")       @ExtApiIdempotent       public String addOrderExtApiIdempotent(@RequestBody OrderEntity orderEntity, HttpServletRequest request) {             int result = orderMapper.addOrder(orderEntity);             return result > 0 ? "添加成功" : "添加失败" + "";       }