开放API接口签名算法（接口签名的作用）

本篇文章给大家谈谈开放API接口签名算法，以及接口签名的作用对应的知识点，希望对各位有所帮助，不要忘了收藏本站喔。 今天给各位分享开放API接口签名算法的知识，其中也会对接口签名的作用进行解释，如果能碰巧解决你现在面临的问题，别忘了关注本站，现在开始吧！

本文目录一览：

• 1、关于API接口的签名和权鉴，你知道多少？
• 2、小红书API签名算法分析
• 3、接口签名实现
• 4、API接口入门（二）：API接口的签名验签和加解密原理
• 5、API接口签名验证_MD5加密出现不同结果的解决方法

关于API接口的签名和权鉴，你知道多少？

最近在做第三方接口对接的一些工作，考虑到交互的安全性也为了不让数据在传输中“裸奔”，所以签名和权鉴是必不可少的了。

2.1、从登录验证说起

在我们内部项目之间进行的接口调用中一般会用到这种： 用户登录-生成token并保存-接口请求验证token ，这里也可以把token做成全局的用以单点登录。

2.2、说说使用token验证

① 但是如果我们要对接第三方接口或者向第三方提供接口时，这个模式就使用得比较少一些了。首先，token携带在请求中很多时候已经是一个 明文传输 了，有心的话可以直接进行数据提取然后做一些其他事情(做过爬虫的应该都很熟练哈)。

② 在第三方接口对接时更多的是以加盟或绑定的形式为主，在接口调用之前 很少会做登录的动作 ，而且处于安全性考虑这种方式的安全性也有待进一步提升。

2.3、解决方案

其实这个问题已经是有比较完备的解决方案了得： 双方约定一个公钥，一个私钥然后按照特定的算法(MD5、SHA256)进行加密生成一个签名 。使用方在接口调用时携带签名及其他数据，提供方在接收到调用时也按照约定进行一次签名的生成，最后会比较两方的数据，如果两方的签名一致则请求检测初步通过，不符合时则拒绝。

3.1、整体思路

使用特定的签名算法且使用双方都进行生成（其参数包含公钥、时间戳、携带参数）。在我这边接收到请求时先去检测公钥是否在我方的约定池中存在，然后校验 签名一致性、有效时间，最后是参数合法性检测 。其中在中间任何一个环节出现问题即 抛出对应回执信息 。

PS:部分参数可参与签名的算法

3.2、签名算法

在这里面最重要的就是签名算法了，其操作步骤如下：

① 使用Map接收参数，然后对按照其中的非空参数名的ACCII码从小到大进行排序

② 使用URL键值对的形式(key1=value1key2=value2...)进行字符串拼接

③ 在上述生成的字符串上面拼接私钥得到新的字符串signStr，并对signStr进行SHA256运算得到signShsStr

④ 最后把signShaStr转换成大写，得到最终的签名

4.1、signBuildUtil
4.2、SHA256运算
5.1、在签名中可以让部分重要的参数进行参与

5.2、使用时间戳并参与签名一方面是增加签名的预测难度也可以作为时间有效性检测的依据

5.3、最好是有一个良好的文档约定和公钥、私钥的良好维护

小红书API签名算法分析

小红书APP API接口使用url中的sign参数和header中shield参数来校验请求的有效性，我们随便看一个API请求：

sign参数是用url中的参数计算出来的，大概流程如下：
在这里插入图片描述 在这里插入图片描述
shield参数是由带上sign参数的url计算出来的，是通过拦截请求，在header中插入shield字段，这部分是在 process 方法中实现， process 是一个native方法，在 libshield.so中定义 。

在这里插入图片描述 在这里插入图片描述

接口签名实现

在为第三方系统提供接口的时候，肯定要考虑接口数据的安全问题，比如数据是否被篡改，数据是否已经过时，请求是否唯一，数据是否可以重复提交等问题。其中数据是否被篡改相对重要。

请求携带参数 appid 和 sign ，只有拥有合法的身份appid和正确的签名sign才能放行。这样就解决了身份验证和参数篡改问题，即使请求参数被劫持，由于获取不到secret（ 仅作本地加密使用，不参与网络传输 ），无法伪造合法的请求。

只使用appid和sign，虽然解决了请求参数被篡改的隐患，但是还存在着重复使用请求参数伪造二次请求的隐患。

nonce指 唯一的随机字符串 ，用来标识每个被签名的请求。通过为每个请求提供一个唯一的标识符，服务器能够防止请求被多次使用（记录所有用过的nonce以阻止它们被二次使用）。

然而，对服务器来说永久存储所有接收到的nonce的代价是非常大的。可以使用 timestamp来优化nonce的存储 。

假设允许客户端和服务端最多能存在10分钟的时间差，同时追踪记录在服务端的nonce集合。当有新的请求进入时，首先检查携带的timestamp是否在10分钟内，如超出时间范围，则拒绝，然后查询携带的nonce，如存在（说明该请求是第二次请求），则拒绝。否则，记录该nonce，并删除nonce集合内时间戳大于10分钟的nonce（可以使用redis的expire，新增nonce的同时设置它的超时失效时间为10分钟）。

对服务端而言，拦截请求用AOP切面或者用拦截器都行，如果要对所有请求进行拦截，可以直接拦截器处理（拦截器在切面之前，过滤器之后，具体在springmvc的dispather分发之后）。

过滤器→拦截器→切面的顺序：

其中，需要放在请求头的字段： appid 、 timestamp 、 nonce 、 signature 。

对各种类型的请求参数，先做如下拼接处理：

如果存在多种数据形式，则按照path、query、form、body的顺序进行再拼接，得到所有数据的拼接值。

上述拼接的值记作 Y。

X=”appid=xxxnonce=xxxtimestamp=xxx”

最终拼接值=XY。最后将最终拼接值按照一个加密算法得到签名。

虽然散列算法会有推荐使用 SHA-256、SHA-384、SHA-512，禁止使用 MD5。但其实签名这里用MD5加密没多大问题，不推荐MD5主要是因为，网络有大量的MD5解密库。

实现可以分以下几步：

自定义的缓存有body参数的HttpServletRequest：

过滤器中替换自定义的RequestServlet:

添加过滤器的配置以及注意顺序：

由于Zuul自带默认的过滤中，有已经对body处理过的（FormBodyWrapperFilter），所以在Zuul中处理签名，只需添加一个过滤器即可如下。

java接口签名(Signature)实现方案
开放API接口签名验证，让你的接口从此不再裸奔

API接口入门（二）：API接口的签名验签和加解密原理

本文目录：
想象一个场景：一位许久不见的好兄弟，突然在微信里面跟你说“兄弟，借我1万应急呗”，你会怎么反应？

我想大部分人马上的反应就是：是不是被盗号了？他是本人吗？

实际上这是我们日常生活中常见的通讯行为，系统间调用API和传输数据的过程无异于你和朋友间的微信沟通，所有处于开放环境的数据传输都是可以被截取，甚至被篡改的。因而数据传输存在着极大的危险，所以必须加密。

加密核心解决两个问题：
古代人写信通过邮差传信，路途遥远，他们为了避免重要的内容被发现，决定用密文来写信，比如我想表达“八百标兵上北坡”，我写成800north，并且收件人也知道怎么阅读这份信息，即使路上的人截取偷看了，也看不懂你们在说的什么意思。同时我在文末签上我的字迹，在盒子里放上我的信物（比如一片羽毛等等），这样收件人也就知道这份信是我寄出的了。

这被称为“对称性密码”，也就是加密的人用A方式加密，解密的人用A方式解密，有什么缺点呢？

如果你经常传输，这就很容易被发现了密码规律，比如我很快就知道你寄信都会带上一片羽毛，那我以后也可以搞一片羽毛来冒充你了。加上，如果我要给很多人寄信，我就要跟每个人告诉我的加密方式，说不准有一个卧底就把你的加密方式出卖了。

因为互联网传输的对接方数量和频率非常高，显然搞个对称性密码是不安全的。于是，基于对称性密码延伸出“非对称密码”的概念。
通俗的解释：A要给B发信息，B先把一个箱子给A，A收到之后把信放进箱子，然后上锁，上锁了之后A自己也打不开，取不出来了，因为钥匙在B的手里，这样即使路上被截取了，别人也打不开箱子看里面的信息，最后B就能安全地收到A发的信了，并且信息没有泄露。

现在我们以一个单向的A发信息给B的场景进行深入了解公私钥工作原理。

总结：

（1）签名会被任何人获取，但因为签名内容不涉及核心内容，被获取破解是OK的。

（2）重要内容只能接收方解密，任何人获取了都无法解密。

（3）接收者B只有验证签名者是A的信息，才会执行接下来的程序。阿猫阿狗发来的信息不予执行。

捣局者C可能的情况：

（1）他获取到这条信息是A发出的，但看不明白加密的内容。

（2）他可以也用接受者B的加密方法c向接收者B发信息，但他无法冒充发送者A的签名，所以B不会接受C的请求。

（2）公私钥的非对称加密+session key对称加密
上一小节解释的公私钥加密是标准和安全的，但因为这类非对称加密对系统运算的需求比较大，在保证安全的前提下，还是尽量希望提升程序响应的时效。所以目前主流应用的另一种加密方式是公私钥的非对称加密+session key对称加密。
（1）当B向A发出临时有效的加密方法之后，通讯的过程变为了对称加密；

（2）这类加密方式的核心是时效性，必须在短时间内更新，否则固定的规律容易被获取破解。

捣局者C可能的情况：

（1）他获取到B发出的session key的加密文件，无法破解session key是什么。因为解密方法在A手上；

（2）通过各种手段，C破解出session key的加解密方法，但因为时效已到，session key更新，C徒劳无功；

（3）C在时效内破解出session key，但无法冒充A的签名。

以上是2种常见的加解密方式，每个开放平台会在概述中最开始介绍API调用的安全加解密方法，这是每个对接过程中必须的准备流程，如微信企业平台在概述中就已介绍利用第2种方法（企业微信命名为access_token）进行加解密传输。
以上就是API签名验签和加解密的基本原理，接下来我会继续更新API的请求方式等问题，同时以企业微信，微信开放平台等大型开放平台的业务解释各平台支持的现有功能。

综上，水平有限，如有纰漏，敬请指出。

作者：就是爱睡觉；已任职电商和金融业行业的产品岗位3年时间，目前业务以TO B业务为主，文章是用于记录自己在产品工作的思考和想法，希望有想法的小伙伴共同交流。

题图来自Unsplash，基于CC0协议

API接口签名验证_MD5加密出现不同结果的解决方法

系统在提供接口给第三方系统使用时，通常为了安全性会做接口加密。
设计原则 ：使用HTTPS安全协议 或 传输内容使用非对称加密，这里采用后者。

在对参数进行加密，生成sign时，相同的参数两次加密的结果不一样。

加密规则：

1.拼接出来的字符串不一致
测试时，在加密前将要加密的字符串打印出来比较，发现两次字符串一致。

2.编码问题
加密时，两次的默认编码不一致。
在上述加上默认编码： byte[] btInput = content.getBytes("utf-8"); ，问题解决。

简单实现：
1.接口调用方和接口提供方约定好统一的参数加密算法。
2.接口调用方在调用时把加密后的signature放在参数中去请求接口。
3.判断时间戳有效期。
4.将参数用约定号的加密算法进行加密，与参数中的signature进行比较，一致则调用接口。

关于开放API接口签名算法和接口签名的作用的介绍到此就结束了，不知道你从中找到你需要的信息了吗 ？如果你还想了解更多这方面的信息，记得收藏关注本站。 开放API接口签名算法的介绍就聊到这里吧，感谢你花时间阅读本站内容，更多关于接口签名的作用、开放API接口签名算法的信息别忘了在本站进行查找喔。

版权声明：本文内容由网络用户投稿，版权归原作者所有，本站不拥有其著作权，亦不承担相应法律责任。如果您发现本站中有涉嫌抄袭或描述失实的内容，请联系我们jiasou666@gmail.com 处理，核实后本网站将在24小时内删除侵权内容。