大家好，我是飄渺。
對(duì)于互聯(lián)網(wǎng)來說，只要你系統(tǒng)的接口暴露在外網(wǎng)，就避免不了接口安全問題。如果你的接口在外網(wǎng)裸奔，只要讓知道接口的地址和參數(shù)就可以調(diào)用，那簡(jiǎn)直就是災(zāi)難。
舉個(gè)例子：你的網(wǎng)站用戶注冊(cè)的時(shí)候，需要填寫手機(jī)號(hào)，發(fā)送手機(jī)驗(yàn)證碼，如果這個(gè)發(fā)送驗(yàn)證碼的接口沒有經(jīng)過特殊安全處理，那這個(gè)短信接口早就被人盜刷不知道浪費(fèi)多少錢了。
那如何保證接口安全呢？
一般來說，暴露在外網(wǎng)的api接口需要做到防篡改和防重放才能稱之為安全的接口。
防篡改
我們知道http 是一種無狀態(tài)的協(xié)議，服務(wù)端并不知道客戶端發(fā)送的請(qǐng)求是否合法，也并不知道請(qǐng)求中的參數(shù)是否正確。
舉個(gè)例子, 現(xiàn)在有個(gè)充值的接口，調(diào)用后可以給用戶增加對(duì)應(yīng)的余額。
http://localhost/api/user/recharge?user_id=1001&amount=10
如果非法用戶通過抓包獲取到接口參數(shù)后，修改user_id 或 amount的值就可以實(shí)現(xiàn)給任意賬戶添加余額的目的。
如何解決
采用https協(xié)議可以將傳輸?shù)拿魑倪M(jìn)行加密，但是黑客仍然可以截獲傳輸?shù)臄?shù)據(jù)包，進(jìn)一步偽造請(qǐng)求進(jìn)行重放攻擊。如果黑客使用特殊手段讓請(qǐng)求方設(shè)備使用了偽造的證書進(jìn)行通信，那么https加密的內(nèi)容也會(huì)被解密。
一般的做法有2種：
- 采用https方式把接口的數(shù)據(jù)進(jìn)行加密傳輸，即便是被黑客破解，黑客也花費(fèi)大量的時(shí)間和精力去破解。
- 接口后臺(tái)對(duì)接口的請(qǐng)求參數(shù)進(jìn)行驗(yàn)證，防止被黑客篡改；
- 步驟1：客戶端使用約定好的秘鑰對(duì)傳輸?shù)膮?shù)進(jìn)行加密，得到簽名值sign1，并且將簽名值也放入請(qǐng)求的參數(shù)中，發(fā)送請(qǐng)求給服務(wù)端
- 步驟2：服務(wù)端接收到客戶端的請(qǐng)求，然后使用約定好的秘鑰對(duì)請(qǐng)求的參數(shù)再次進(jìn)行簽名，得到簽名值sign2。
- 步驟3：服務(wù)端比對(duì)sign1和sign2的值，如果不一致，就認(rèn)定為被篡改，非法請(qǐng)求。
防重放
防重放也叫防復(fù)用。簡(jiǎn)單來說就是我獲取到這個(gè)請(qǐng)求的信息之后什么也不改,，直接拿著接口的參數(shù) 重復(fù)請(qǐng)求這個(gè)充值的接口。此時(shí)我的請(qǐng)求是合法的, 因?yàn)樗袇?shù)都是跟合法請(qǐng)求一模一樣的。重放攻擊會(huì)造成兩種后果：
- 針對(duì)插入數(shù)據(jù)庫接口：重放攻擊，會(huì)出現(xiàn)大量重復(fù)數(shù)據(jù)，甚至垃圾數(shù)據(jù)會(huì)把數(shù)據(jù)庫撐爆。
- 針對(duì)查詢的接口：黑客一般是重點(diǎn)攻擊慢查詢接口，例如一個(gè)慢查詢接口1s，只要黑客發(fā)起重放攻擊，就必然造成系統(tǒng)被拖垮，數(shù)據(jù)庫查詢被阻塞死。
對(duì)于重放攻擊一般有兩種做法：
基于timestamp的方案
每次HTTP請(qǐng)求，都需要加上timestamp參數(shù)，然后把timestamp和其他參數(shù)一起進(jìn)行數(shù)字簽名。因?yàn)橐淮握５腍TTP請(qǐng)求，從發(fā)出到達(dá)服務(wù)器一般都不會(huì)超過60s，所以服務(wù)器收到HTTP請(qǐng)求之后，首先判斷時(shí)間戳參數(shù)與當(dāng)前時(shí)間比較，是否超過了60s，如果超過了則認(rèn)為是非法請(qǐng)求。
一般情況下，黑客從抓包重放請(qǐng)求耗時(shí)遠(yuǎn)遠(yuǎn)超過了60s，所以此時(shí)請(qǐng)求中的timestamp參數(shù)已經(jīng)失效了。如果黑客修改timestamp參數(shù)為當(dāng)前的時(shí)間戳，則sign1參數(shù)對(duì)應(yīng)的數(shù)字簽名就會(huì)失效，因?yàn)楹诳筒恢篮灻罔€，沒有辦法生成新的數(shù)字簽名。
但是這種方式的漏洞也是顯而易見，如果在60s之內(nèi)進(jìn)行重放攻擊，那就沒辦法了，所以這種方式不能保證請(qǐng)求僅一次有效。
老鳥們一般會(huì)采取下面這種方案，既可以解決接口重放問題，又可以解決接口一次請(qǐng)求有效的問題。
基于nonce + timestamp 的方案
nonce的意思是僅一次有效的隨機(jī)字符串，要求每次請(qǐng)求時(shí)該參數(shù)要保證不同。實(shí)際使用用戶信息+時(shí)間戳+隨機(jī)數(shù)等信息做個(gè)哈希之后，作為nonce參數(shù)。
此時(shí)服務(wù)端的處理流程如下：
- 去 redis 中查找是否有 key 為 nonce:{nonce} 的 string
- 如果沒有，則創(chuàng)建這個(gè) key，把這個(gè) key 失效的時(shí)間和驗(yàn)證 timestamp 失效的時(shí)間一致，比如是 60s。
- 如果有，說明這個(gè) key 在 60s 內(nèi)已經(jīng)被使用了，那么這個(gè)請(qǐng)求就可以判斷為重放請(qǐng)求。
這種方案nonce和timestamp參數(shù)都作為簽名的一部分傳到后端，基于timestamp方案可以讓黑客只能在60s內(nèi)進(jìn)行重放攻擊，加上nonce隨機(jī)數(shù)以后可以保證接口只能被調(diào)用一次，可以很好的解決重放攻擊問題。
代碼實(shí)現(xiàn)
接下來通過實(shí)際代碼來看看如何實(shí)現(xiàn)接口的防篡改和防重放。
1、構(gòu)建請(qǐng)求頭對(duì)象
@Data
@Builder
public class RequestHeader {
private String sign ;
private Long timestamp ;
private String nonce;
}
2、工具類從HttpServletRequest獲取請(qǐng)求參數(shù)
@Slf4j
@UtilityClass
public class HttpDataUtil {
/**
* post請(qǐng)求處理：獲取 Body 參數(shù)，轉(zhuǎn)換為SortedMap
*
* @param request
*/
public SortedMap<String, String> getBodyParams(final HttpServletRequest request) throws IOException {
byte[] requestBody = StreamUtils.copyToByteArray(request.getInputStream());
String body = new String(requestBody);
return JsonUtil.json2Object(body, SortedMap.class);
}
/**
* get請(qǐng)求處理：將URL請(qǐng)求參數(shù)轉(zhuǎn)換成SortedMap
*/
public static SortedMap<String, String> getUrlParams(HttpServletRequest request) {
String param = "";
SortedMap<String, String> result = new TreeMap<>();
if (StringUtils.isEmpty(request.getQueryString())) {
return result;
}
try {
param = URLDecoder.decode(request.getQueryString(), "utf-8");
} catch (UnsupportedEncodingException e) {
e.printStackTrace();
}
String[] params = param.split("&");
for (String s : params) {
String[] array=s.split("=");
result.put(array[0], array[1]);
}
return result;
}
}
這里的參數(shù)放入SortedMap中對(duì)其進(jìn)行字典排序，前端構(gòu)建簽名時(shí)同樣需要對(duì)參數(shù)進(jìn)行字典排序。
3、簽名驗(yàn)證工具類
@Slf4j
@UtilityClass
public class SignUtil {
/**
* 驗(yàn)證簽名
* 驗(yàn)證算法：把timestamp + JsonUtil.object2Json(SortedMap)合成字符串，然后MD5
*/
@SneakyThrows
public boolean verifySign(SortedMap<String, String> map, RequestHeader requestHeader) {
String params = requestHeader.getNonce() + requestHeader.getTimestamp() + JsonUtil.object2Json(map);
return verifySign(params, requestHeader);
}
/**
* 驗(yàn)證簽名
*/
public boolean verifySign(String params, RequestHeader requestHeader) {
log.debug("客戶端簽名: {}", requestHeader.getSign());
if (StringUtils.isEmpty(params)) {
return false;
}
log.info("客戶端上傳內(nèi)容: {}", params);
String paramsSign = DigestUtils.md5DigestAsHex(params.getBytes()).toUpperCase();
log.info("客戶端上傳內(nèi)容加密后的簽名結(jié)果: {}", paramsSign);
return requestHeader.getSign().equals(paramsSign);
}
}
4、HttpServletRequest包裝類
public class SignRequestWrapper extends HttpServletRequestWrapper {
//用于將流保存下來
private byte[] requestBody = null;
public SignRequestWrapper(HttpServletRequest request) throws IOException {
super(request);
requestBody = StreamUtils.copyToByteArray(request.getInputStream());
}
@Override
public ServletInputStream getInputStream() throws IOException {
final ByteArrayInputStream bais = new ByteArrayInputStream(requestBody);
return new ServletInputStream() {
@Override
public boolean isFinished() {
return false;
}
@Override
public boolean isReady() {
return false;
}
@Override
public void setReadListener(ReadListener readListener) {
}
@Override
public int read() throws IOException {
return bais.read();
}
};
}
@Override
public BufferedReader getReader() throws IOException {
return new BufferedReader(new InputStreamReader(getInputStream()));
}
}防篡改和防重放我們會(huì)通過SpringBoot Filter來實(shí)現(xiàn)，而編寫的filter過濾器需要讀取request數(shù)據(jù)流，但是request數(shù)據(jù)流只能讀取一次，需要自己實(shí)現(xiàn)HttpServletRequestWrapper對(duì)數(shù)據(jù)流包裝，目的是將request流保存下來。
5、創(chuàng)建過濾器實(shí)現(xiàn)安全校驗(yàn)
@Configuration
public class SignFilterConfiguration {
@Value("${sign.maxTime}")
private String signMaxTime;
//filter中的初始化參數(shù)
private Map<String, String> initParametersMap = new HashMap<>();
@Bean
public FilterRegistrationBean contextFilterRegistrationBean() {
initParametersMap.put("signMaxTime",signMaxTime);
FilterRegistrationBean registration = new FilterRegistrationBean();
registration.setFilter(signFilter());
registration.setInitParameters(initParametersMap);
registration.addUrlPatterns("/sign/*");
registration.setName("SignFilter");
// 設(shè)置過濾器被調(diào)用的順序
registration.setOrder(1);
return registration;
}
@Bean
public Filter signFilter() {
return new SignFilter();
}
}
@Slf4j
public class SignFilter implements Filter {
@Resource
private RedisUtil redisUtil;
//從fitler配置中獲取sign過期時(shí)間
private Long signMaxTime;
private static final String NONCE_KEY = "x-nonce-";
@Override
public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
HttpServletRequest httpRequest = (HttpServletRequest) servletRequest;
HttpServletResponse httpResponse = (HttpServletResponse) servletResponse;
log.info("過濾URL:{}", httpRequest.getRequestURI());
HttpServletRequestWrapper requestWrapper = new SignRequestWrapper(httpRequest);
//構(gòu)建請(qǐng)求頭
RequestHeader requestHeader = RequestHeader.builder()
.nonce(httpRequest.getHeader("x-Nonce"))
.timestamp(Long.parseLong(httpRequest.getHeader("X-Time")))
.sign(httpRequest.getHeader("X-Sign"))
.build();
//驗(yàn)證請(qǐng)求頭是否存在
if(StringUtils.isEmpty(requestHeader.getSign()) || ObjectUtils.isEmpty(requestHeader.getTimestamp()) || StringUtils.isEmpty(requestHeader.getNonce())){
responseFail(httpResponse, ReturnCode.ILLEGAL_HEADER);
return;
}
/*
* 1.重放驗(yàn)證
* 判斷timestamp時(shí)間戳與當(dāng)前時(shí)間是否操過60s（過期時(shí)間根據(jù)業(yè)務(wù)情況設(shè)置）,如果超過了就提示簽名過期。
*/
long now = System.currentTimeMillis() / 1000;
if (now - requestHeader.getTimestamp() > signMaxTime) {
responseFail(httpResponse,ReturnCode.REPLAY_ERROR);
return;
}
//2. 判斷nonce
boolean nonceExists = redisUtil.hasKey(NONCE_KEY + requestHeader.getNonce());
if(nonceExists){
//請(qǐng)求重復(fù)
responseFail(httpResponse,ReturnCode.REPLAY_ERROR);
return;
}else {
redisUtil.set(NONCE_KEY+requestHeader.getNonce(), requestHeader.getNonce(), signMaxTime);
}
boolean accept;
SortedMap<String, String> paramMap;
switch (httpRequest.getMethod()){
case "GET":
paramMap = HttpDataUtil.getUrlParams(requestWrapper);
accept = SignUtil.verifySign(paramMap, requestHeader);
break;
case "POST":
paramMap = HttpDataUtil.getBodyParams(requestWrapper);
accept = SignUtil.verifySign(paramMap, requestHeader);
break;
default:
accept = true;
break;
}
if (accept) {
filterChain.doFilter(requestWrapper, servletResponse);
} else {
responseFail(httpResponse,ReturnCode.ARGUMENT_ERROR);
return;
}
}
private void responseFail(HttpServletResponse httpResponse, ReturnCode returnCode) {
ResultData<Object> resultData = ResultData.fail(returnCode.getCode(), returnCode.getMessage());
WebUtils.writeJson(httpResponse,resultData);
}
@Override
public void init(FilterConfig filterConfig) throws ServletException {
String signTime = filterConfig.getInitParameter("signMaxTime");
signMaxTime = Long.parseLong(signTime);
}
}
6、Redis工具類
@Component
public class RedisUtil {
@Resource
private RedisTemplate<String, Object> redisTemplate;
/**
* 判斷key是否存在
* @param key 鍵
* @return true 存在 false不存在
*/
public boolean hasKey(String key) {
try {
return Boolean.TRUE.equals(redisTemplate.hasKey(key));
} catch (Exception e) {
e.printStackTrace();
return false;
}
}
/**
* 普通緩存放入并設(shè)置時(shí)間
* @param key 鍵
* @param value 值
* @param time 時(shí)間(秒) time要大于0 如果time小于等于0 將設(shè)置無限期
* @return true成功 false 失敗
*/
public boolean set(String key, Object value, long time) {
try {
if (time > 0) {
redisTemplate.opsForValue().set(key, value, time, TimeUnit.SECONDS);
} else {
set(key, value);
}
return true;
} catch (Exception e) {
e.printStackTrace();
return false;
}
}
/**
* 普通緩存放入
* @param key 鍵
* @param value 值
* @return true成功 false失敗
*/
public boolean set(String key, Object value) {
try {
redisTemplate.opsForValue().set(key, value);
return true;
} catch (Exception e) {
e.printStackTrace();
return false;
}
}
}
