SpringBoot如何保证接口安全？老鸟们都是这么玩的！

　　为什么要保证接口安全
　　对于互联网来说，只要你系统的接口暴露在外网，就避免不了接口安全问题。如果你的接口在外网裸奔，只要让黑客知道接口的地址和参数就可以调用，那简直就是灾难。
　　举个例子：你的网站用户注册的时候，需要填写手机号，发送手机验证码，如果这个发送验证码的接口没有经过特殊安全处理，那这个短信接口早就被人盗刷不知道浪费多少钱了。
　　那如何保证接口安全呢？
　　一般来说，暴露在外网的api接口需要做到防篡改和防重放才能称之为安全的接口。防篡改
　　我们知道http是一种无状态的协议，服务端并不知道客户端发送的请求是否合法，也并不知道请求中的参数是否正确。
　　举个例子，现在有个充值的接口，调用后可以给用户增加对应的余额。http：localhostapiuserrecharge？userid1001amount10
　　如果非法用户通过抓包获取到接口参数后，修改userid或amount的值就可以实现给任意账户添加余额的目的。如何解决
　　采用https协议可以将传输的明文进行加密，但是黑客仍然可以截获传输的数据包，进一步伪造请求进行重放攻击。如果黑客使用特殊手段让请求方设备使用了伪造的证书进行通信，那么https加密的内容也会被解密。
　　一般的做法有2种：采用https方式把接口的数据进行加密传输，即便是被黑客破解，黑客也花费大量的时间和精力去破解。接口后台对接口的请求参数进行验证，防止被黑客篡改；
　　步骤1：客户端使用约定好的秘钥对传输的参数进行加密，得到签名值sign1，并且将签名值也放入请求的参数中，发送请求给服务端步骤2：服务端接收到客户端的请求，然后使用约定好的秘钥对请求的参数再次进行签名，得到签名值sign2。步骤3：服务端比对sign1和sign2的值，如果不一致，就认定为被篡改，非法请求。防重放
　　防重放也叫防复用。简单来说就是我获取到这个请求的信息之后什么也不改，，直接拿着接口的参数去重复请求这个充值的接口。此时我的请求是合法的，因为所有参数都是跟合法请求一模一样的。重放攻击会造成两种后果：针对插入数据库接口：重放攻击，会出现大量重复数据，甚至垃圾数据会把数据库撑爆。针对查询的接口：黑客一般是重点攻击慢查询接口，例如一个慢查询接口1s，只要黑客发起重放攻击，就必然造成系统被拖垮，数据库查询被阻塞死。
　　对于重放攻击一般有两种做法：基于timestamp的方案
　　每次HTTP请求，都需要加上timestamp参数，然后把timestamp和其他参数一起进行数字签名。因为一次正常的HTTP请求，从发出到达服务器一般都不会超过60s，所以服务器收到HTTP请求之后，首先判断时间戳参数与当前时间比较，是否超过了60s，如果超过了则认为是非法请求。
　　一般情况下，黑客从抓包重放请求耗时远远超过了60s，所以此时请求中的timestamp参数已经失效了。如果黑客修改timestamp参数为当前的时间戳，则sign1参数对应的数字签名就会失效，因为黑客不知道签名秘钥，没有办法生成新的数字签名。
　　但是这种方式的漏洞也是显而易见，如果在60s之内进行重放攻击，那就没办法了，所以这种方式不能保证请求仅一次有效。
　　老鸟们一般会采取下面这种方案，既可以解决接口重放问题，又可以解决一次请求有效的问题。基于noncetimestamp的方案
　　nonce的意思是仅一次有效的随机字符串，要求每次请求时该参数要保证不同。实际使用用户信息时间戳随机数等信息做个哈希之后，作为nonce参数。
　　此时服务端的处理流程如下：去redis中查找是否有key为nonce：｛nonce｝的string如果没有，则创建这个key，把这个key失效的时间和验证timestamp失效的时间一致，比如是60s。如果有，说明这个key在60s内已经被使用了，那么这个请求就可以判断为重放请求。
　　这种方案nonce和timestamp参数都作为签名的一部分传到后端，基于timestamp方案可以让黑客只能在60s内进行重放攻击，加上nonce随机数以后可以保证接口只能被调用一次，可以很好的解决重放攻击问题。代码实现
　　接下来以SpringBoot项目为例看看如何实现接口的防篡改和防重放功能。
　　1、构建请求头对象DataBuilderpublicclassRequestHeader｛privateSprivateLprivateS｝
　　2、工具类从HttpServletRequest获取请求参数Slf4jUtilityClasspublicclassHttpDataUtil｛post请求处理：获取Body参数，转换为SortedMapparamrequestpublicSortedMapString，StringgetBodyParams（finalHttpServletRequestrequest）throwsIOException｛byte〔〕requestBodyStreamUtils。copyToByteArray（request。getInputStream（））；StringbodynewString（requestBody）；returnJsonUtil。json2Object（body，SortedMap。class）；｝get请求处理：将URL请求参数转换成SortedMappublicstaticSortedMapString，StringgetUrlParams（HttpServletRequestrequest）｛SSortedMapString，StringresultnewTreeMap（）；if（StringUtils。isEmpty（request。getQueryString（）））｛｝try｛paramURLDecoder。decode（request。getQueryString（），utf8）；｝catch（UnsupportedEncodingExceptione）｛e。printStackTrace（）；｝String〔〕paramsparam。split（）；for（Strings：params）｛String〔〕arrays。split（）；result。put（array〔0〕，array〔1〕）；｝｝｝
　　这里的参数放入SortedMap中对其进行字典排序，前端构建签名时同样需要对参数进行字典排序。
　　3、签名验证工具类Slf4jUtilityClasspublicclassSignUtil｛验证签名验证算法：把timestampJsonUtil。object2Json（SortedMap）合成字符串，然后MD5SneakyThrowspublicbooleanverifySign（SortedMapString，Stringmap，RequestHeaderrequestHeader）｛StringparamsrequestHeader。getNonce（）requestHeader。getTimestamp（）JsonUtil。object2Json（map）；returnverifySign（params，requestHeader）；｝验证签名publicbooleanverifySign（Stringparams，RequestHeaderrequestHeader）｛log。debug（客户端签名：｛｝，requestHeader。getSign（））；if（StringUtils。isEmpty（params））｛｝log。info（客户端上传内容：｛｝，params）；StringparamsSignDigestUtils。md5DigestAsHex（params。getBytes（））。toUpperCase（）；log。info（客户端上传内容加密后的签名结果：｛｝，paramsSign）；returnrequestHeader。getSign（）。equals（paramsSign）；｝｝
　　4、HttpServletRequest包装类publicclassSignRequestWrapperextendsHttpServletRequestWrapper｛用于将流保存下来privatebyte〔〕requestBpublicSignRequestWrapper（HttpServletRequestrequest）throwsIOException｛super（request）；requestBodyStreamUtils。copyToByteArray（request。getInputStream（））；｝OverridepublicServletInputStreamgetInputStream（）throwsIOException｛finalByteArrayInputStreambaisnewByteArrayInputStream（requestBody）；returnnewServletInputStream（）｛OverridepublicbooleanisFinished（）｛｝OverridepublicbooleanisReady（）｛｝OverridepublicvoidsetReadListener（ReadListenerreadListener）｛｝Overridepublicintread（）throwsIOException｛returnbais。read（）；｝｝；｝OverridepublicBufferedReadergetReader（）throwsIOException｛returnnewBufferedReader（newInputStreamReader（getInputStream（）））；｝｝
　　防篡改和防重放我们会通过SpringBootFilter来实现，而编写的filter过滤器需要读取request数据流，但是request数据流只能读取一次，需要自己实现HttpServletRequestWrapper对数据流包装，目的是将request流保存下来。
　　5、创建过滤器实现安全校验ConfigurationpublicclassSignFilterConfiguration｛Value（｛sign。maxTime｝）privateStringsignMaxTfilter中的初始化参数privateMapString，StringinitParametersMapnewHashMap（）；BeanpublicFilterRegistrationBeancontextFilterRegistrationBean（）｛initParametersMap。put（signMaxTime，signMaxTime）；FilterRegistrationBeanregistrationnewFilterRegistrationBean（）；registration。setFilter（signFilter（））；registration。setInitParameters（initParametersMap）；registration。addUrlPatterns（sign）；registration。setName（SignFilter）；设置过滤器被调用的顺序registration。setOrder（1）；｝BeanpublicFiltersignFilter（）｛returnnewSignFilter（）；｝｝Slf4jpublicclassSignFilterimplementsFilter｛ResourceprivateRedisUtilredisU从fitler配置中获取sign过期时间privateLongsignMaxTprivatestaticfinalStringNONCEKEYOverridepublicvoiddoFilter（ServletRequestservletRequest，ServletResponseservletResponse，FilterChainfilterChain）throwsIOException，ServletException｛HttpServletRequesthttpRequest（HttpServletRequest）servletRHttpServletResponsehttpResponse（HttpServletResponse）servletRlog。info（过滤URL：｛｝，httpRequest。getRequestURI（））；HttpServletRequestWrapperrequestWrappernewSignRequestWrapper（httpRequest）；构建请求头RequestHeaderrequestHeaderRequestHeader。builder（）。nonce（httpRequest。getHeader（xNonce））。timestamp（Long。parseLong（httpRequest。getHeader（XTime）））。sign（httpRequest。getHeader（XSign））。build（）；验证请求头是否存在if（StringUtils。isEmpty（requestHeader。getSign（））ObjectUtils。isEmpty（requestHeader。getTimestamp（））StringUtils。isEmpty（requestHeader。getNonce（）））｛responseFail（httpResponse，ReturnCode。ILLEGALHEADER）；｝1。重放验证判断timestamp时间戳与当前时间是否操过60s（过期时间根据业务情况设置），如果超过了就提示签名过期。longnowSystem。currentTimeMillis（）1000；if（nowrequestHeader。getTimestamp（）signMaxTime）｛responseFail（httpResponse，ReturnCode。REPLAYERROR）；｝2。判断noncebooleannonceExistsredisUtil。hasKey（NONCEKEYrequestHeader。getNonce（））；if（nonceExists）｛请求重复responseFail（httpResponse，ReturnCode。REPLAYERROR）；｝else｛redisUtil。set（NONCEKEYrequestHeader。getNonce（），requestHeader。getNonce（），signMaxTime）；｝SortedMapString，StringparamMswitch（httpRequest。getMethod（））｛caseGET：paramMapHttpDataUtil。getUrlParams（requestWrapper）；acceptSignUtil。verifySign（paramMap，requestHeader）；casePOST：paramMapHttpDataUtil。getBodyParams（requestWrapper）；acceptSignUtil。verifySign（paramMap，requestHeader）；default：｝if（accept）｛filterChain。doFilter（requestWrapper，servletResponse）；｝else｛responseFail（httpResponse，ReturnCode。ARGUMENTERROR）；｝｝privatevoidresponseFail（HttpServletResponsehttpResponse，ReturnCodereturnCode）｛ResultDataObjectresultDataResultData。fail（returnCode。getCode（），returnCode。getMessage（））；WebUtils。writeJson（httpResponse，resultData）；｝Overridepublicvoidinit（FilterConfigfilterConfig）throwsServletException｛StringsignTimefilterConfig。getInitParameter（signMaxTime）；signMaxTimeLong。parseLong（signTime）；｝｝
　　6、Redis工具类ComponentpublicclassRedisUtil｛ResourceprivateRedisTemplateString，ObjectredisT判断key是否存在paramkey键returntrue存在false不存在publicbooleanhasKey（Stringkey）｛try｛returnBoolean。TRUE。equals（redisTemplate。hasKey（key））；｝catch（Exceptione）｛e。printStackTrace（）；｝｝普通缓存放入并设置时间paramkey键paramvalue值paramtime时间（秒）time要大于0如果time小于等于0将设置无限期returntrue成功false失败publicbooleanset（Stringkey，Objectvalue，longtime）｛try｛if（time0）｛redisTemplate。opsForValue（）。set（key，value，time，TimeUnit。SECONDS）；｝else｛set（key，value）；｝｝catch（Exceptione）｛e。printStackTrace（）；｝｝普通缓存放入paramkey键paramvalue值returntrue成功false失败publicbooleanset（Stringkey，Objectvalue）｛try｛redisTemplate。opsForValue（）。set（key，value）；｝catch（Exceptione）｛e。printStackTrace（）；｝｝｝
　　作者：飘渺Jam
　　链接：https：juejin。cnpost7195355046065176631