前後端分離的開發方式，我們以介面為標準來進行推動，定義好介面，各自開發自己的功能，最後進行聯調整合。無論是開發原生的APP還是webapp還是PC端的軟體,只要是前後端分離的模式，就避免不了呼叫後端提供的介面來進行業務互動。

網頁或者app，只要抓下包就可以清楚的知道這個請求獲取到的資料，也可以偽造請求去獲取或攻擊伺服器；也對爬蟲工程師來說是一種福音，要抓你的資料簡直輕而易舉。那我們怎麼去解決這些問題呢？

介面簽名

我們先考慮一下介面資料被偽造，以及介面被重複呼叫的問題，要解決這個問題我們就要用到介面簽名的方案，

簽名流程

簽名規則

1、線下分配appid和appsecret，針對不同的呼叫方分配不同的appid和appsecret

2、加入timestamp（時間戳），5分鐘內資料有效

3、加入臨時流水號 nonce（防止重複提交），至少為10位。針對查詢介面，流水號只用於日誌落地，便於後期日誌核查。針對辦理類介面需校驗流水號在有效期內的唯一性，以避免重複請求。

4、加入簽名欄位signature，所有資料的簽名信息。

以上欄位放在請求頭中。

簽名的生成

簽名signature欄位生成規則

所有動態引數 = 請求頭部分 + 請求URL地址 + 請求Request引數 + 請求Body

上面的動態引數以key-value的格式儲存，並以key值正序排序，進行拼接

最後拼接的字串 在拼接appSecret

signature = DigestUtils.md5DigestAsHex(sortParamsMap + appSecret)

即拼接成一個字串，然後做md5不可逆加密

請求頭部分

請求頭=“appId=xxxx&nonce=xxxx×tamp=xxxx&sign=xxx”

請求頭中的4個引數是必須要傳的，否則直接報異常

請求URL地址

這個就是請求介面的地址包含協議，如

https://mso.xxxx.com.cn/api/user

請求Request引數

即請求為Get方式的時候，獲取的傳入的引數

請求Body

即請求為Post時，請求體Body

從request inputstream中獲取儲存為String形式

簽名演算法實現

基本原理其實也比較簡單，就是自定義filter，對每個請求進行處理；整體流程如下

1）驗證必須的頭部引數

2）獲取頭部引數，request引數，Url請求路徑，請求體Body，把這些值放入SortMap中進行排序

3）對SortMap裡面的值進行拼接

4）對拼接的值進行加密，生成sign

5）把生成的sign和前端傳入的sign進行比較，如果不相同就返回錯誤

我們來看一下程式碼

以上是filter類，其中有個appSecret需要自己業務去獲取，它的作用主要是區分不同客戶端app。並且利用獲取到的appSecret參與到sign簽名，保證了客戶端的請求籤名是由我們後臺控制的，我們可以為不同的客戶端頒發不同的appSecret。

我們再來看看驗證頭部引數

上圖其實就是驗證是否傳入值；不過其實有個很重要的一點，就是對此請求進行時間驗證，如果大於10分鐘表示此連結已經超時，防止別人來到這個連結去請求。這個就是防止盜鏈。

我們在來看看，如何獲取各個引數

上面我們獲取了各個引數，相對比較簡單；我們在來看看生成sign，和驗證sign

上面的流程中，會有個額外的安全處理，

· 防止盜鏈，我們可以讓連結有失效時間

· 利用nonce引數，防止重複提交

在簽名驗證成功後，判斷是否重複提交；

原理就是結合redis，判斷是否已經提交過

總結

今天我們用簽名的方式，對我們對外提供的介面起到了保護作用；但這種保護僅僅做到了防止別人篡改請求，或者模擬請求。

但是還是缺少對資料自身的安全保護，即請求的引數和返回的資料都是有可能被別人攔截獲取的，而這些資料又是明文的，所以只要被攔截，就能獲得相應的業務資料。