linux cpu占用率如何看
484
2023-02-06
api接口防刷（接口防刷 令牌验证）
本篇文章给大家谈谈api接口防刷，以及接口防刷 令牌验证对应的知识点，希望对各位有所帮助，不要忘了收藏本站喔。
今天给各位分享api接口防刷的知识，其中也会对接口防刷 令牌验证进行解释，如果能碰巧解决你现在面临的问题，别忘了关注本站，现在开始吧！
2、根本无法正常发送短信。
3、企业发送内容原因：在使用API接口时，需要遵循相关规范，例如内容中出现违禁词会导致发送失败;短信验证码格式不正确也会导致发送失败;获取次数超过设置范围，设置获取次数是为了防止被刷，当超过次数限制会禁止用户请求
具备包过滤api接口防刷的就是防火墙？对，没错api接口防刷！根据对防火墙api接口防刷的定义，凡是能有效阻止网络非法连接的方式，都算防火墙。早期的防火墙一般就是利用设置的条件，监测通过的包的特征来决定放行或者阻止的，包过滤是很重要的一种特性。虽然防火墙技术发展到现在有了很多新的理念提出，但是包过滤依然是非常重要的一环，如同四层交换机首要的仍是要具备包的快速转发这样一个交换机的基本功能一样。通过包过滤，防火墙可以实现阻挡攻击，禁止外部/内部访问某些站点，限制每个ip的流量和连接数。
2.包的透明转发
事实上，由于防火墙一般架设在提供某些服务的服务器前。如果用示意图来表示就是 Server—FireWall—Guest 。用户对服务器的访问的请求与服务器反馈给用户的信息，都需要经过防火墙的转发,因此，很多防火墙具备网关的能力。
3.阻挡外部攻击
如果用户发送的信息是防火墙设置所不允许的，防火墙会立即将其阻断，避免其进入防火墙之后的服务器中。
4.记录攻击
如果有必要，其实防火墙是完全可以将攻击行为都记录下来的，但是由于出于效率上的考虑，目前一般记录攻击的事情都交给IDS来完成了，我们在后面会提到。
以上是所有防火墙都具备的基本特性，虽然很简单，但防火墙技术就是在此基础上逐步发展起来的。
其实一个接口是无法完全避免接口爆破的，区分人和机器或许可以使用谷歌的图片验证机制，但是我们一般简单项目没必要做那么复杂的，只需要确保不正常的访问频率不会爆破出我们的用户信息，以及让我们机器的处理流量保存在可控范围即可。
验证码只能60s获取一次 并且3小时内只能获取三次，超过次数提升获取频繁，稍后再试。
正常登录1小时内失败6次账号自动锁定，1小时之后自动解锁。
获取验证码无论输入的账号存在不存在均显示发送成功，但是实际不存在的账号不会正常发送。
4.登录失败，账号不存在密码错误不再提示账号不存在等等，而是统一显示账号或密码错误。5.忘记密码前端部分增加滑动校验，60倒计时无法点击发送验证码。前后端共同校验。6.技术限制系统此接口的访问频率。
前端部分可以在这个地址看看这几个简单的组件，这次我们就使用最简单的，滑动拖动即可。
<drag-verify
ref="dragVerify"
:width="width"
:height="height"
text="请按住滑块拖动"
successText="验证通过"
:isPassing.sync="isPassing"
background="#ccc"
completedBg="rgb(105, 231, 251)"
handlerIcon="el-icon-d-arrow-right"
successIcon="el-icon-circle-check"
@passcallback="passcallback"
</drag-verify
用户滑动之后需要加上60s倒计时,这块我们使用定时器实现即可，以及邮箱和手机号的正确性校验，不正确则弹窗提示。
this.countDown = 60;
timer = setInterval(() = {
if (this.countDown - 1 = 0) {
this.countDown -= 1;
} else {
clearInterval(timer);
timer = null;
}
}, 1000);
<el-button disabled type="text" v-show="time 0"
{{ time 0 ? `${time}` : "" }} s之后重试</el-button
验证邮箱手机号可以使用正则校验进行。
mobileReg = /^1\d{10}$/;
emailReg = /^([A-Za-z0-9_\-\.\u4e00-\u9fa5])+\@([A-Za-z0-9_\-\.])+\.([A-Za-z]{2,8})$/;
前端大体思路就是，进行滑块验证，拖到右边之后，60s之内无法操作，60s到期之后自动复原，
显示倒计时时间。这个只能防止用户在页面上多次点击，造成一个验证的假象，如果直接对后端接口爆破，则无法避免。
这是大概的流程图，图中还有些细节问题下面慢慢讲解。
这块本来我想用java或者kotlin写，但是历史项目用go写的，重写的话还有其他一些改动，所以继续使用golang完成这部分逻辑。
先定义一个结构体，然后我们来分析下需要哪些字段来实现我们的业务。
type CommonLogin struct {
CreateTime time.Time
LastTime time.Time
Times uint8
}
// 登录的前置校验
func beforeCommonLoginValid(key string, r *redis.Client, field string) (bool, error) {
// redis中是否存在账号
result, err := r.HExists(field, key).Result()
if err != nil {
fmt.Printf("从redis中获取用户账户失败，账户为： %s", key)
return false, err
}
if result {
login := CommonLogin{}
// 存在账号 说明之前登录失败过 且自从上次失败未登录成功过
commonLogin, err := r.HGet(field, key).Result()
if err != nil {
return false, err
}
json.Unmarshal([]byte(commonLogin), login)
if login.Times < 6 {
return true, nil
}
// 是否在1小时内失败了6次
if login.Times = 6 {
// 否
if time.Now().Sub(login.CreateTime) time.Hour*1 {
// 连续输错6次时长大于1小时 解锁
r.HDel(field, key)
return true, nil
} else {
fmt.Printf("用户%s于1小时之内连续登录失败6次，账号锁定，1小时后重试。", key)
return false, nil
}
}
}
// redis中不存在重试记录
return true, nil
}
在所有的登录判断的出口，调用此方法即可，例如用户名密码错误，acl校验未通过等等。
其实原理差不多，唯一的区别就是多了一个获取验证码时间间隔校验。
func beforeForgotPasswordValid(key string, r *redis.Client, field string) (bool, error) {
// redis中是否存在账号
result, err := r.HExists(field, key).Result()
if err != nil {
fmt.Printf("从redis中获取用户账户失败，账户为： %s", key)
return false, err
}
login := CommonLogin{}
// 账号存在
if result {
commonLogin, err := r.HGet(field, key).Result()
if err != nil {
return false, err
}
json.Unmarshal([]byte(commonLogin), login)
// 获取验证码间隔时长不能小于60s
if time.Now().Sub(login.LastTime) < time.Second*60 {
fmt.Printf("用户获取验证码间隔小于60s")
return false, nil
}
if login.Times < 3 {
return true, nil
}
// 是否在1小时内获取了3次
if login.Times = 3 {
// 否
if time.Now().Sub(login.CreateTime) time.Hour*3 {
// 连续输错6次时长大于1小时 解锁
r.HDel(field, key)
return true, nil
} else {
fmt.Printf("用户%s于3小时之内连续获取验证码3次，账号锁定，3小时后重试。", key)
return false, nil
}
}
}
return true, nil
}
// 更新获取验证码的时间
func afterForgotPasswordValid(key string, r *redis.Client, field string) {
login := CommonLogin{}
commonLogin, _ := r.HGet(field, key).Result()
json.Unmarshal([]byte(commonLogin), login)
// 验证码发送成功
result, _ := r.HExists(field, key).Result()
if result {
login.Times = login.Times + 1
login.LastTime = time.Now()
data, _ := json.Marshal(login)
r.HSet(field, key, data)
} else {
login.Times = 1
login.LastTime = time.Now()
login.CreateTime = login.LastTime
data, _ := json.Marshal(login)
r.HSet(field, key, data)
}
}
nginx是一个非常强大的中间价，在安全方面，我们可以用它来限制来自于同一机器的访问频率，可以做黑名单功能等等，当然有人会说ip代{过}{滤}理池之类的，我们此次演示的只是简单demo，恶意攻击当然需要专业防护了。
具体google一下，看这两篇官方文档。
https://docs.nginx.com/nginx/admin-guide/security-controls/controlling-access-proxied-http
https://www.nginx.com/blog/rate-limiting-nginx/
具体的配置其实很简单了。
限制远程同ip访问频率。
limit_req_zone$binary_remote_addrzone=perip:10mrate=1r/s;
$binary_remote_addr 表示通过remote
addr这个标识来做限制，“binary ”的目的是缩写内存占用量，是限制同一客户端ip地址
zone=one:10m表示生成一个大小为10M，名字为one的内存区域，用来存储访问的频次信息
rate=1r/s表示允许相同标识的客户端的访问频次，这里限制的是每秒1次，还可以有比如30r/m的
location ^~ /api/xxx {
limit_req zone=perip nodelay;
limit_req_status 503;
proxy_pass http://正确地址;
}
上面配置意思就是超过频率返回503，服务不可用。
使用jmeter进行压力测试：1s 10个请求，我们预期只有1个请求成功，其他的返回503.
为api接口防刷了尽量避免这种问题, 后端在实现接口的过程中应该确保与接口规范保持一致, 一旦出现分歧, 必须同步修改接口规范, 尽可能保持沟通.
专门的api应用使用独立域名 https://api.example.com
简单的可使用api前缀区分 https://www.example.com/api
接口版本的控制api接口防刷，可以在程序发布时，不同版本的业务逻辑在一定程度上避免受到影响。
https://api.example.com/v {n}
应该将API的版本号放入URL。
采用多版本并存，增量发布的方式。
n代表版本号，分为整型和浮点型
整型： 大功能版本， 如v1、v2、v3 ...
浮点型： 补充功能版本， 如v1.1、v1.2、v2.1、v2.2 ...
客户端任何的修改都是需要发版的，发版需要审核流程。
客户端尽量只负责展示逻辑，不处理业务逻辑
客户端不处理金额的计算
客户端少处理请求参数的校验与约束提示
图片文案等，与校验规则类似，通过接口返回，并提供默认。
url连接一般采用https协议进行数据传输，可以提高数据交互过程中的安全性。
区分版本
合并接口
字段简写
无用字段清理
图片裁剪
局部刷新
预加载
其他
接口安全，防参数篡改
频率的控制
数据存储
是否需要依赖于第三方
服务降级，熔断和限流
拆分
扩展性
适配性
幂等
重复提交
部署
缓存穿透、缓存雪崩和缓存击穿
是否需要白名单
预加载
重试
异步
服务端推送或者客户端拉取数据
隔离（例如内网的中台服务，后端服务）
健康检查，后台大盘监控可视化，故障主动通知 关于api接口防刷和接口防刷 令牌验证的介绍到此就结束了，不知道你从中找到你需要的信息了吗 ？如果你还想了解更多这方面的信息，记得收藏关注本站。 api接口防刷的介绍就聊到这里吧，感谢你花时间阅读本站内容，更多关于接口防刷 令牌验证、api接口防刷的信息别忘了在本站进行查找喔。
本文目录一览：
- 1、为什么有些软件换了个账号验证码会发错
- 2、web防火墙有什么作用
- 3、后台登陆防刷、防爆破以及正常的登录校验
- 4、亚马逊自动调价软件对ppc有用吗 酷鸟智能调价安全吗
- 5、API接口响应格式规范定义
为什么有些软件换了个账号验证码会发错
①不是不是直连运营商的平台，使用二三手通道，从而导致短信验证码延迟发送或无法发送的情况。②低价的API平台提供的API接口不稳定，技术不支持高并发，遇上用户访问量比较大的时候容易出现系统崩溃、系统错误，从而导致下发失败。2、根本无法正常发送短信。
3、企业发送内容原因：在使用API接口时，需要遵循相关规范，例如内容中出现违禁词会导致发送失败;短信验证码格式不正确也会导致发送失败;获取次数超过设置范围，设置获取次数是为了防止被刷，当超过次数限制会禁止用户请求
web防火墙有什么作用
1.包过滤具备包过滤api接口防刷的就是防火墙？对，没错api接口防刷！根据对防火墙api接口防刷的定义，凡是能有效阻止网络非法连接的方式，都算防火墙。早期的防火墙一般就是利用设置的条件，监测通过的包的特征来决定放行或者阻止的，包过滤是很重要的一种特性。虽然防火墙技术发展到现在有了很多新的理念提出，但是包过滤依然是非常重要的一环，如同四层交换机首要的仍是要具备包的快速转发这样一个交换机的基本功能一样。通过包过滤，防火墙可以实现阻挡攻击，禁止外部/内部访问某些站点，限制每个ip的流量和连接数。
2.包的透明转发
事实上，由于防火墙一般架设在提供某些服务的服务器前。如果用示意图来表示就是 Server—FireWall—Guest 。用户对服务器的访问的请求与服务器反馈给用户的信息，都需要经过防火墙的转发,因此，很多防火墙具备网关的能力。
3.阻挡外部攻击
如果用户发送的信息是防火墙设置所不允许的，防火墙会立即将其阻断，避免其进入防火墙之后的服务器中。
4.记录攻击
如果有必要，其实防火墙是完全可以将攻击行为都记录下来的，但是由于出于效率上的考虑，目前一般记录攻击的事情都交给IDS来完成了，我们在后面会提到。
以上是所有防火墙都具备的基本特性，虽然很简单，但防火墙技术就是在此基础上逐步发展起来的。
后台登陆防刷、防爆破以及正常的登录校验
前几天项目上需要对一个正常登陆接口，以及忘记密码的接口进行防爆破处理，这里我用nginx，redis，以及前端的一些简单的图形拖动来做一个简单的安全机制，可能有不完善的地方，大家可以提出来意见。其实一个接口是无法完全避免接口爆破的，区分人和机器或许可以使用谷歌的图片验证机制，但是我们一般简单项目没必要做那么复杂的，只需要确保不正常的访问频率不会爆破出我们的用户信息，以及让我们机器的处理流量保存在可控范围即可。
验证码只能60s获取一次 并且3小时内只能获取三次，超过次数提升获取频繁，稍后再试。
正常登录1小时内失败6次账号自动锁定，1小时之后自动解锁。
获取验证码无论输入的账号存在不存在均显示发送成功，但是实际不存在的账号不会正常发送。
4.登录失败，账号不存在密码错误不再提示账号不存在等等，而是统一显示账号或密码错误。5.忘记密码前端部分增加滑动校验，60倒计时无法点击发送验证码。前后端共同校验。6.技术限制系统此接口的访问频率。
前端部分可以在这个地址看看这几个简单的组件，这次我们就使用最简单的，滑动拖动即可。
<drag-verify
ref="dragVerify"
:width="width"
:height="height"
text="请按住滑块拖动"
successText="验证通过"
:isPassing.sync="isPassing"
background="#ccc"
completedBg="rgb(105, 231, 251)"
handlerIcon="el-icon-d-arrow-right"
successIcon="el-icon-circle-check"
@passcallback="passcallback"
</drag-verify
用户滑动之后需要加上60s倒计时,这块我们使用定时器实现即可，以及邮箱和手机号的正确性校验，不正确则弹窗提示。
this.countDown = 60;
timer = setInterval(() = {
if (this.countDown - 1 = 0) {
this.countDown -= 1;
} else {
clearInterval(timer);
timer = null;
}
}, 1000);
<el-button disabled type="text" v-show="time 0"
{{ time 0 ? `${time}` : "" }} s之后重试</el-button
验证邮箱手机号可以使用正则校验进行。
mobileReg = /^1\d{10}$/;
emailReg = /^([A-Za-z0-9_\-\.\u4e00-\u9fa5])+\@([A-Za-z0-9_\-\.])+\.([A-Za-z]{2,8})$/;
前端大体思路就是，进行滑块验证，拖到右边之后，60s之内无法操作，60s到期之后自动复原，
显示倒计时时间。这个只能防止用户在页面上多次点击，造成一个验证的假象，如果直接对后端接口爆破，则无法避免。
这是大概的流程图，图中还有些细节问题下面慢慢讲解。
这块本来我想用java或者kotlin写，但是历史项目用go写的，重写的话还有其他一些改动，所以继续使用golang完成这部分逻辑。
先定义一个结构体，然后我们来分析下需要哪些字段来实现我们的业务。
type CommonLogin struct {
CreateTime time.Time
LastTime time.Time
Times uint8
}
// 登录的前置校验
func beforeCommonLoginValid(key string, r *redis.Client, field string) (bool, error) {
// redis中是否存在账号
result, err := r.HExists(field, key).Result()
if err != nil {
fmt.Printf("从redis中获取用户账户失败，账户为： %s", key)
return false, err
}
if result {
login := CommonLogin{}
// 存在账号 说明之前登录失败过 且自从上次失败未登录成功过
commonLogin, err := r.HGet(field, key).Result()
if err != nil {
return false, err
}
json.Unmarshal([]byte(commonLogin), login)
if login.Times < 6 {
return true, nil
}
// 是否在1小时内失败了6次
if login.Times = 6 {
// 否
if time.Now().Sub(login.CreateTime) time.Hour*1 {
// 连续输错6次时长大于1小时 解锁
r.HDel(field, key)
return true, nil
} else {
fmt.Printf("用户%s于1小时之内连续登录失败6次，账号锁定，1小时后重试。", key)
return false, nil
}
}
}
// redis中不存在重试记录
return true, nil
}
在所有的登录判断的出口，调用此方法即可，例如用户名密码错误，acl校验未通过等等。
其实原理差不多，唯一的区别就是多了一个获取验证码时间间隔校验。
func beforeForgotPasswordValid(key string, r *redis.Client, field string) (bool, error) {
// redis中是否存在账号
result, err := r.HExists(field, key).Result()
if err != nil {
fmt.Printf("从redis中获取用户账户失败，账户为： %s", key)
return false, err
}
login := CommonLogin{}
// 账号存在
if result {
commonLogin, err := r.HGet(field, key).Result()
if err != nil {
return false, err
}
json.Unmarshal([]byte(commonLogin), login)
// 获取验证码间隔时长不能小于60s
if time.Now().Sub(login.LastTime) < time.Second*60 {
fmt.Printf("用户获取验证码间隔小于60s")
return false, nil
}
if login.Times < 3 {
return true, nil
}
// 是否在1小时内获取了3次
if login.Times = 3 {
// 否
if time.Now().Sub(login.CreateTime) time.Hour*3 {
// 连续输错6次时长大于1小时 解锁
r.HDel(field, key)
return true, nil
} else {
fmt.Printf("用户%s于3小时之内连续获取验证码3次，账号锁定，3小时后重试。", key)
return false, nil
}
}
}
return true, nil
}
// 更新获取验证码的时间
func afterForgotPasswordValid(key string, r *redis.Client, field string) {
login := CommonLogin{}
commonLogin, _ := r.HGet(field, key).Result()
json.Unmarshal([]byte(commonLogin), login)
// 验证码发送成功
result, _ := r.HExists(field, key).Result()
if result {
login.Times = login.Times + 1
login.LastTime = time.Now()
data, _ := json.Marshal(login)
r.HSet(field, key, data)
} else {
login.Times = 1
login.LastTime = time.Now()
login.CreateTime = login.LastTime
data, _ := json.Marshal(login)
r.HSet(field, key, data)
}
}
nginx是一个非常强大的中间价，在安全方面，我们可以用它来限制来自于同一机器的访问频率，可以做黑名单功能等等，当然有人会说ip代{过}{滤}理池之类的，我们此次演示的只是简单demo，恶意攻击当然需要专业防护了。
具体google一下，看这两篇官方文档。
https://docs.nginx.com/nginx/admin-guide/security-controls/controlling-access-proxied-http
https://www.nginx.com/blog/rate-limiting-nginx/
具体的配置其实很简单了。
限制远程同ip访问频率。
limit_req_zone$binary_remote_addrzone=perip:10mrate=1r/s;
$binary_remote_addr 表示通过remote
addr这个标识来做限制，“binary ”的目的是缩写内存占用量，是限制同一客户端ip地址
zone=one:10m表示生成一个大小为10M，名字为one的内存区域，用来存储访问的频次信息
rate=1r/s表示允许相同标识的客户端的访问频次，这里限制的是每秒1次，还可以有比如30r/m的
location ^~ /api/xxx {
limit_req zone=perip nodelay;
limit_req_status 503;
proxy_pass http://正确地址;
}
上面配置意思就是超过频率返回503，服务不可用。
使用jmeter进行压力测试：1s 10个请求，我们预期只有1个请求成功，其他的返回503.
亚马逊自动调价软件对ppc有用吗 酷鸟智能调价安全吗
亚马逊ppc广告的投放就是个无底洞，有头脑的人在投放的时候会时时刻刻的做数据追踪，争取以同等或者较低的价格去获取十倍或者更多的利益，然后对于那些刚刚入行的新手或者比较懒于动脑筋的卖家而言，这广告的投入就是个深渊巨口，不断的投入但是没有尽头，效果也不尽理想...
酷鸟只是一个卖家工具软件，不是亚马逊账号。一个酷鸟账号可以添加多个亚马逊店铺，实现多店铺管理模式。并且酷鸟使用MWS接口是Amazon官方认可的，它只是个产品管理API接口，不存在安全问题。
API接口响应格式规范定义
由于接口规范api接口防刷的定义和接口的实际实现是分开的两个部分, 而且涉及到多人协作, 因此在开发过程中可能出现接口规范与实现不同步, 最终造成实际的接口不符合规范的定义, 接口规范就会慢慢失去存在的意义.为api接口防刷了尽量避免这种问题, 后端在实现接口的过程中应该确保与接口规范保持一致, 一旦出现分歧, 必须同步修改接口规范, 尽可能保持沟通.
专门的api应用使用独立域名 https://api.example.com
简单的可使用api前缀区分 https://www.example.com/api
接口版本的控制api接口防刷，可以在程序发布时，不同版本的业务逻辑在一定程度上避免受到影响。
https://api.example.com/v {n}
应该将API的版本号放入URL。
采用多版本并存，增量发布的方式。
n代表版本号，分为整型和浮点型
整型： 大功能版本， 如v1、v2、v3 ...
浮点型： 补充功能版本， 如v1.1、v1.2、v2.1、v2.2 ...
客户端任何的修改都是需要发版的，发版需要审核流程。
客户端尽量只负责展示逻辑，不处理业务逻辑
客户端不处理金额的计算
客户端少处理请求参数的校验与约束提示
图片文案等，与校验规则类似，通过接口返回，并提供默认。
url连接一般采用https协议进行数据传输，可以提高数据交互过程中的安全性。
区分版本
合并接口
字段简写
无用字段清理
图片裁剪
局部刷新
预加载
其他
接口安全，防参数篡改
频率的控制
数据存储
是否需要依赖于第三方
服务降级，熔断和限流
拆分
扩展性
适配性
幂等
重复提交
部署
缓存穿透、缓存雪崩和缓存击穿
是否需要白名单
预加载
重试
异步
服务端推送或者客户端拉取数据
隔离（例如内网的中台服务，后端服务）
健康检查，后台大盘监控可视化，故障主动通知 关于api接口防刷和接口防刷 令牌验证的介绍到此就结束了，不知道你从中找到你需要的信息了吗 ？如果你还想了解更多这方面的信息，记得收藏关注本站。 api接口防刷的介绍就聊到这里吧，感谢你花时间阅读本站内容，更多关于接口防刷 令牌验证、api接口防刷的信息别忘了在本站进行查找喔。
版权声明：本文内容由网络用户投稿，版权归原作者所有，本站不拥有其著作权，亦不承担相应法律责任。如果您发现本站中有涉嫌抄袭或描述失实的内容，请联系我们jiasou666@gmail.com 处理，核实后本网站将在24小时内删除侵权内容。
相关文章
发表评论
暂时没有评论，来抢沙发吧~