對于互聯網來說，只要你系統的接口暴露在外網，就避免不了接口安全問題。如果你的接口在外網裸奔，只要讓黑客知道接口的地址和參數就可以調用，那簡直就是災難。

舉個例子：你的網站用戶注冊的時候，需要填寫手機號，發送手機驗證碼，如果這個發送驗證碼的接口沒有經過特殊安全處理，那這個短信接口早就被人盜刷不知道浪費多少錢了。

那如何保證接口安全呢？

一般來說，暴露在外網的api接口需要做到防篡改 和防重放 才能稱之為安全的接口。

防篡改

我們知道http 是一種無狀態的協議，服務端并不知道客戶端發送的請求是否合法，也并不知道請求中的參數是否正確。

舉個例子, 現在有個充值的接口，調用后可以給用戶增加對應的余額。

http://localhost/api/user/recharge?user_id=1001&amount=10

如果非法用戶通過抓包獲取到接口參數后，修改user_id 或 amount的值就可以實現給任意賬戶添加余額的目的。

如何解決

采用https協議可以將傳輸的明文進行加密，但是黑客仍然可以截獲傳輸的數據包，進一步偽造請求進行重放攻擊。如果黑客使用特殊手段讓請求方設備使用了偽造的證書進行通信，那么https加密的內容也會被解密。

一般的做法有2種：

1. 采用https方式把接口的數據進行加密傳輸，即便是被黑客破解，黑客也花費大量的時間和精力去破解。
2. 接口后臺對接口的請求參數進行驗證，防止被黑客篡改；

• 步驟1：客戶端使用約定好的秘鑰對傳輸的參數進行加密，得到簽名值sign1，并且將簽名值也放入請求的參數中，發送請求給服務端
• 步驟2：服務端接收到客戶端的請求，然后使用約定好的秘鑰對請求的參數再次進行簽名，得到簽名值sign2。
• 步驟3：服務端比對sign1和sign2的值，如果不一致，就認定為被篡改，非法請求。

基于 Spring Boot + MyBatis Plus + Vue & Element 實現的后臺管理系統 + 用戶小程序，支持 RBAC 動態權限、多租戶、數據權限、工作流、三方登錄、支付、短信、商城等功能

• 項目地址：https://github.com/YunaiV/ruoyi-vue-pro
• 視頻教程：https://doc.iocoder.cn/video/

防重放

防重放也叫防復用。簡單來說就是我獲取到這個請求的信息之后什么也不改,，直接拿著接口的參數 重復請求這個充值的接口。此時我的請求是合法的, 因為所有參數都是跟合法請求一模一樣的。

重放攻擊會造成兩種后果：

1. 針對插入數據庫接口：重放攻擊，會出現大量重復數據，甚至垃圾數據會把數據庫撐爆。
2. 針對查詢的接口：黑客一般是重點攻擊慢查詢接口，例如一個慢查詢接口1s，只要黑客發起重放攻擊，就必然造成系統被拖垮，數據庫查詢被阻塞死。

對于重放攻擊一般有兩種做法：

基于timestamp的方案

每次HTTP請求，都需要加上timestamp參數，然后把timestamp和其他參數一起進行數字簽名。因為一次正常的HTTP請求，從發出到達服務器一般都不會超過60s，所以服務器收到HTTP請求之后，首先判斷時間戳參數與當前時間比較，是否超過了60s，如果超過了則認為是非法請求。

一般情況下，黑客從抓包重放請求耗時遠遠超過了60s，所以此時請求中的timestamp參數已經失效了。如果黑客修改timestamp參數為當前的時間戳，則sign1參數對應的數字簽名就會失效，因為黑客不知道簽名秘鑰，沒有辦法生成新的數字簽名。

但是這種方式的漏洞也是顯而易見，如果在60s之內進行重放攻擊，那就沒辦法了，所以這種方式不能保證請求僅一次有效。

老鳥們一般會采取下面這種方案，既可以解決接口重放問題，又可以解決接口一次請求有效的問題。

基于nonce + timestamp 的方案

nonce的意思是僅一次有效的隨機字符串，要求每次請求時該參數要保證不同。實際使用用戶信息+時間戳+隨機數等信息做個哈希之后，作為nonce參數。

此時服務端的處理流程如下：

1. 去 redis 中查找是否有 key 為 nonce:{nonce}的 string
2. 如果沒有，則創建這個 key，把這個 key 失效的時間和驗證 timestamp 失效的時間一致，比如是 60s。
3. 如果有，說明這個 key 在 60s 內已經被使用了，那么這個請求就可以判斷為重放請求。

這種方案nonce和timestamp參數都作為簽名的一部分傳到后端，基于timestamp方案可以讓黑客只能在60s內進行重放攻擊，加上nonce隨機數以后可以保證接口只能被調用一次，可以很好的解決重放攻擊問題。

基于 Spring Cloud Alibaba + Gateway + Nacos + RocketMQ + Vue & Element 實現的后臺管理系統 + 用戶小程序，支持 RBAC 動態權限、多租戶、數據權限、工作流、三方登錄、支付、短信、商城等功能

• 項目地址：https://github.com/YunaiV/yudao-cloud
• 視頻教程：https://doc.iocoder.cn/video/

代碼實現

接下來通過實際代碼來看看如何實現接口的防篡改和防重放。

1、構建請求頭對象

@Data
@Builder
publicclassRequestHeader{
privateStringsign;
privateLongtimestamp;
privateStringnonce;
}

2、工具類從HttpServletRequest獲取請求參數

@Slf4j
@UtilityClass
publicclassHttpDataUtil{
/**
*post請求處理：獲取Body參數，轉換為SortedMap
*
*@paramrequest
*/
publicSortedMapgetBodyParams(finalHttpServletRequestrequest)throwsIOException{
byte[]requestBody=StreamUtils.copyToByteArray(request.getInputStream());
Stringbody=newString(requestBody);
returnJsonUtil.json2Object(body,SortedMap.class);
}


/**
*get請求處理：將URL請求參數轉換成SortedMap
*/
publicstaticSortedMapgetUrlParams(HttpServletRequestrequest){
Stringparam="";
SortedMapresult=newTreeMap<>();

if(StringUtils.isEmpty(request.getQueryString())){
returnresult;
}

try{
param=URLDecoder.decode(request.getQueryString(),"utf-8");
}catch(UnsupportedEncodingExceptione){
e.printStackTrace();
}

String[]params=param.split("&");
for(Strings:params){
String[]array=s.split("=");
result.put(array[0],array[1]);
}
returnresult;
}
}

這里的參數放入SortedMap中對其進行字典排序，前端構建簽名時同樣需要對參數進行字典排序。

3、簽名驗證工具類

@Slf4j
@UtilityClass
publicclassSignUtil{
/**
*驗證簽名
*驗證算法：把timestamp+JsonUtil.object2Json(SortedMap)合成字符串，然后MD5
*/
@SneakyThrows
publicbooleanverifySign(SortedMapmap,RequestHeaderrequestHeader){
Stringparams=requestHeader.getNonce()+requestHeader.getTimestamp()+JsonUtil.object2Json(map);
returnverifySign(params,requestHeader);
}

/**
*驗證簽名
*/
publicbooleanverifySign(Stringparams,RequestHeaderrequestHeader){
log.debug("客戶端簽名:{}",requestHeader.getSign());
if(StringUtils.isEmpty(params)){
returnfalse;
}
log.info("客戶端上傳內容:{}",params);
StringparamsSign=DigestUtils.md5DigestAsHex(params.getBytes()).toUpperCase();
log.info("客戶端上傳內容加密后的簽名結果:{}",paramsSign);
returnrequestHeader.getSign().equals(paramsSign);
}
}

4、HttpServletRequest包裝類

publicclassSignRequestWrapperextendsHttpServletRequestWrapper{
//用于將流保存下來
privatebyte[]requestBody=null;

publicSignRequestWrapper(HttpServletRequestrequest)throwsIOException{
super(request);
requestBody=StreamUtils.copyToByteArray(request.getInputStream());
}

@Override
publicServletInputStreamgetInputStream()throwsIOException{
finalByteArrayInputStreambais=newByteArrayInputStream(requestBody);

returnnewServletInputStream(){
@Override
publicbooleanisFinished(){
returnfalse;
}

@Override
publicbooleanisReady(){
returnfalse;
}

@Override
publicvoidsetReadListener(ReadListenerreadListener){

}

@Override
publicintread()throwsIOException{
returnbais.read();
}
};

}

@Override
publicBufferedReadergetReader()throwsIOException{
returnnewBufferedReader(newInputStreamReader(getInputStream()));
}
}

防篡改和防重放我們會通過SpringBoot Filter來實現，而編寫的filter過濾器需要讀取request數據流，但是request數據流只能讀取一次，需要自己實現HttpServletRequestWrapper對數據流包裝，目的是將request流保存下來。

5、創建過濾器實現安全校驗

@Configuration
publicclassSignFilterConfiguration{
@Value("${sign.maxTime}")
privateStringsignMaxTime;

//filter中的初始化參數
privateMapinitParametersMap=newHashMap<>();

@Bean
publicFilterRegistrationBeancontextFilterRegistrationBean(){
initParametersMap.put("signMaxTime",signMaxTime);
FilterRegistrationBeanregistration=newFilterRegistrationBean();
registration.setFilter(signFilter());
registration.setInitParameters(initParametersMap);
registration.addUrlPatterns("/sign/*");
registration.setName("SignFilter");
//設置過濾器被調用的順序
registration.setOrder(1);
returnregistration;
}

@Bean
publicFiltersignFilter(){
returnnewSignFilter();
}
}
@Slf4j
publicclassSignFilterimplementsFilter{
@Resource
privateRedisUtilredisUtil;

//從fitler配置中獲取sign過期時間
privateLongsignMaxTime;

privatestaticfinalStringNONCE_KEY="x-nonce-";

@Override
publicvoiddoFilter(ServletRequestservletRequest,ServletResponseservletResponse,FilterChainfilterChain)throwsIOException,ServletException{
HttpServletRequesthttpRequest=(HttpServletRequest)servletRequest;
HttpServletResponsehttpResponse=(HttpServletResponse)servletResponse;

log.info("過濾URL:{}",httpRequest.getRequestURI());

HttpServletRequestWrapperrequestWrapper=newSignRequestWrapper(httpRequest);
//構建請求頭
RequestHeaderrequestHeader=RequestHeader.builder()
.nonce(httpRequest.getHeader("x-Nonce"))
.timestamp(Long.parseLong(httpRequest.getHeader("X-Time")))
.sign(httpRequest.getHeader("X-Sign"))
.build();

//驗證請求頭是否存在
if(StringUtils.isEmpty(requestHeader.getSign())||ObjectUtils.isEmpty(requestHeader.getTimestamp())||StringUtils.isEmpty(requestHeader.getNonce())){
responseFail(httpResponse,ReturnCode.ILLEGAL_HEADER);
return;
}

/*
*1.重放驗證
*判斷timestamp時間戳與當前時間是否操過60s（過期時間根據業務情況設置）,如果超過了就提示簽名過期。
*/
longnow=System.currentTimeMillis()/1000;

if(now-requestHeader.getTimestamp()>signMaxTime){
responseFail(httpResponse,ReturnCode.REPLAY_ERROR);
return;
}

//2.判斷nonce
booleannonceExists=redisUtil.hasKey(NONCE_KEY+requestHeader.getNonce());
if(nonceExists){
//請求重復
responseFail(httpResponse,ReturnCode.REPLAY_ERROR);
return;
}else{
redisUtil.set(NONCE_KEY+requestHeader.getNonce(),requestHeader.getNonce(),signMaxTime);
}


booleanaccept;
SortedMapparamMap;
switch(httpRequest.getMethod()){
case"GET":
paramMap=HttpDataUtil.getUrlParams(requestWrapper);
accept=SignUtil.verifySign(paramMap,requestHeader);
break;
case"POST":
paramMap=HttpDataUtil.getBodyParams(requestWrapper);
accept=SignUtil.verifySign(paramMap,requestHeader);
break;
default:
accept=true;
break;
}
if(accept){
filterChain.doFilter(requestWrapper,servletResponse);
}else{
responseFail(httpResponse,ReturnCode.ARGUMENT_ERROR);
return;
}

}

privatevoidresponseFail(HttpServletResponsehttpResponse,ReturnCodereturnCode){
ResultData