还在手动对参数进行签名校验？太落后了吧

2021-06-12 22:52:50 阅读：117 来源： 互联网

有做过开放平台的同学肯定知道，对外的 API 都要做签名校验，防止重放等来保证安全性。既然是统一地校验，那就没必要让每个开发接口的同学都去手动的进行校验，这个时候我们需要统一进行签名的校验和重放的校验。

今天给大家推荐一个 API 校验的框架，通过注解和切面的方式自动进行签名校验，并且支持自定义算法，使用简单，我强调一下，大家如果要用于自己的项目中，可以下载源码稍微改造下，因为我觉得还有些地方没有处理好，当然大家可以借鉴这个项目的思路，还是不错的。

集成框架

可以直接使用作者已经上传了的 jar 包，当然你也可以自己下载源码编译。

<dependency>
    <groupId>cn.oever</groupId>
    <artifactId>api-signed</artifactId>
    <version>0.0.1</version>
</dependency>

添加配置信息，主要配置加密算法和 Redis 信息，因为这个项目用到了 Redis 做防止重放。

server:
  port: 8080
oever:
  signature:
    time-diff-max: 300
    algorithm: HmacSHA1
spring:
  redis:
    host: 127.0.0.1
    port: 6379
    password:

time-diff-max：调用方与服务器时间戳允许的最大差值，单位秒，默认值 10 秒。时间戳校验肯定会出现客户端和服务端不一致的情况，我们允许一定的差值，超过了就证明是过期的请求。

algorithm：MAC 算法的标准名称

spring.redis：就是 Redis 的配置信息，请注意前面加 spring，在作者文档中没有加 spring。

在启动类上添加签名扫描注解@SignedScan，注解中会做自动装配的工作。

@SpringBootApplication
@SignedScan
public class Application {
    public static void main(String[] args) {
        SpringApplication.run(Application.class, args);
    }
}

签名校验

在要进行签名的接口上增加@SignedMapping 注解，也可以放在类上。签名参数信息可以用框架自带 SignedParam 类，也可以自定义，自定义的话在自己的类上通过注解的方式标识 appId 等信息即可。

@RequestMapping("base")
@SignedMapping
public String base(@RequestBody SignedParam signedParam) {
    logger.info("The request data is :" + signedParam.getData());
    return "Base test is ok.";
}

参数类：

@SignedEntity
public class SignedParam {
    @SignedAppId
    private String appId;
    private String data;
    @SignedTimestamp
    private long timestamp;
    @SignedNonce
    private int nonce;
    @Signature
    private String signature;
}

然后就可以测试接口了，填写对应的认证信息，签名需要根据算法将参数进行签名，后端校验才能通过。

还在手动对参数进行签名校验？太落后了吧

图片

签名步骤

将请求参数依据参数名称（首字母小写）的 ASCII 序进行升序排列, 参与排序的参数包括除 signature 以外的所有请求参数。
将排序后的请求参数依照参数名=参数值的形式格式化, 然后将各个参数依序用&符号拼接在一起, 得到待签名字符串 plainText。

appId=APP_ID_TEST&data={"userId":"test"}&nonce=-2028703096×tamp=1597415679

以 HMAC-SHA1 算法为例对 plainText 进行加密, 再使用 Base64 对加密后的字节流进行编码, 最终得到了最终签名

还在手动对参数进行签名校验？太落后了吧

如果觉得本文对你有帮助，可以点赞关注支持一下，也可以关注我公众号，上面有更多技术干货文章以及相关资料共享，大家一起学习进步！

标签：String,手动,校验,private,参数,签名,注解
来源： https://blog.51cto.com/u_15265637/2899777

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。

ICode9

还在手动对参数进行签名校验？太落后了吧