作者：巨人大哥
鏈接：https://www.cnblogs.com/jurendage/p/12653865.html
說(shuō)明：在實(shí)際的業(yè)務(wù)中，難免會(huì)跟第三方系統(tǒng)進(jìn)行數(shù)據(jù)的交互與傳遞踢关，那么如何保證數(shù)據(jù)在傳輸過(guò)程中的安全呢（防竊壬■辍）？除了https的協(xié)議之外签舞，能不能加上通用的一套算法以及規(guī)范來(lái)保證傳輸?shù)陌踩阅兀?/p>
下面我們就來(lái)討論下常用的一些API設(shè)計(jì)的安全方法秕脓，可能不一定是最好的，有更牛逼的實(shí)現(xiàn)方式儒搭，但是這篇是我自己的經(jīng)驗(yàn)分享.
token 簡(jiǎn)介
Token：訪問(wèn)令牌access token, 用于接口中,
用于標(biāo)識(shí)接口調(diào)用者的身份吠架、憑證，減少用戶名和密碼的傳輸次數(shù)搂鲫。一般情況下客戶端(接口調(diào)用方)需要先向服務(wù)器端申請(qǐng)一個(gè)接口調(diào)用的賬號(hào)傍药，服務(wù)器會(huì)給出一個(gè)appId和一個(gè)key,
key用于參數(shù)簽名使用，注意key保存到客戶端魂仍，需要做一些安全處理拐辽，防止泄露。
Token的值一般是UUID擦酌，服務(wù)端生成Token后需要將token做為key俱诸，將一些和token關(guān)聯(lián)的信息作為value保存到緩存服務(wù)器中(redis)，當(dāng)一個(gè)請(qǐng)求過(guò)來(lái)后仑氛，服務(wù)器就去緩存服務(wù)器中查詢這個(gè)Token是否存在乙埃，存在則調(diào)用接口闸英，不存在返回接口錯(cuò)誤，一般通過(guò)攔截器或者過(guò)濾器來(lái)實(shí)現(xiàn)介袜，Token分為兩種：
API Token(接口令牌): 用于訪問(wèn)不需要用戶登錄的接口甫何，如登錄、注冊(cè)遇伞、一些基本數(shù)據(jù)的獲取等辙喂。獲取接口令牌需要拿appId、timestamp和sign來(lái)?yè)Q鸠珠，sign=加密(timestamp+key)
USER Token(用戶令牌): 用于訪問(wèn)需要用戶登錄之后的接口巍耗，如：獲取我的基本信息、保存渐排、修改炬太、刪除等操作。獲取用戶令牌需要拿用戶名和密碼來(lái)?yè)Q
關(guān)于Token的時(shí)效性：token可以是一次性的驯耻、也可以在一段時(shí)間范圍內(nèi)是有效的亲族，具體使用哪種看業(yè)務(wù)需要。
一般情況下接口最好使用https協(xié)議可缚，如果使用http協(xié)議霎迫，Token機(jī)制只是一種減少被黑的可能性，其實(shí)只能防君子不能防小人帘靡。
一般token知给、timestamp和sign 三個(gè)參數(shù)會(huì)在接口中會(huì)同時(shí)作為參數(shù)傳遞，每個(gè)參數(shù)都有各自的用途描姚。
timestamp 簡(jiǎn)介
timestamp:
時(shí)間戳涩赢，是客戶端調(diào)用接口時(shí)對(duì)應(yīng)的當(dāng)前時(shí)間戳，時(shí)間戳用于防止DoS攻擊轰胁。當(dāng)黑客劫持了請(qǐng)求的url去DoS攻擊谒主，每次調(diào)用接口時(shí)接口都會(huì)判斷服務(wù)器當(dāng)前系統(tǒng)時(shí)間和接口中傳的的timestamp的差值，如果這個(gè)差值超過(guò)某個(gè)設(shè)置的時(shí)間(假如5分鐘)赃阀，那么這個(gè)請(qǐng)求將被攔截掉霎肯，如果在設(shè)置的超時(shí)時(shí)間范圍內(nèi)，是不能阻止DoS攻擊的榛斯。
timestamp機(jī)制只能減輕DoS攻擊的時(shí)間观游，縮短攻擊時(shí)間。如果黑客修改了時(shí)間戳的值可通過(guò)sign簽名機(jī)制來(lái)處理驮俗。
DoS
DoS是Denial of
Service的簡(jiǎn)稱懂缕，即拒絕服務(wù)，造成DoS的攻擊行為被稱為DoS攻擊王凑，其目的是使計(jì)算機(jī)或網(wǎng)絡(luò)無(wú)法提供正常的服務(wù)搪柑。最常見(jiàn)的DoS攻擊有計(jì)算機(jī)網(wǎng)絡(luò)帶寬攻擊和連通性攻擊聋丝。
DoS攻擊是指故意的攻擊網(wǎng)絡(luò)協(xié)議實(shí)現(xiàn)的缺陷或直接通過(guò)野蠻手段殘忍地耗盡被攻擊對(duì)象的資源，目的是讓目標(biāo)計(jì)算機(jī)或網(wǎng)絡(luò)無(wú)法提供正常的服務(wù)或資源訪問(wèn)工碾，使目標(biāo)系統(tǒng)服務(wù)系統(tǒng)停止響應(yīng)甚至崩潰弱睦，而在此攻擊中并不包括侵入目標(biāo)服務(wù)器或目標(biāo)網(wǎng)絡(luò)設(shè)備。這些服務(wù)資源包括網(wǎng)絡(luò)帶寬渊额，文件系統(tǒng)空間容量况木，開(kāi)放的進(jìn)程或者允許的連接。這種攻擊會(huì)導(dǎo)致資源的匱乏旬迹，無(wú)論計(jì)算機(jī)的處理速度多快火惊、內(nèi)存容量多大、網(wǎng)絡(luò)帶寬的速度多快都無(wú)法避免這種攻擊帶來(lái)的后果奔垦。
Pingflood: 該攻擊在短時(shí)間內(nèi)向目的主機(jī)發(fā)送大量ping包屹耐，造成網(wǎng)絡(luò)堵塞或主機(jī)資源耗盡。
Synflood: 該攻擊以多個(gè)隨機(jī)的源主機(jī)地址向目的主機(jī)發(fā)送SYN包宴倍，而在收到目的主機(jī)的SYN ACK后并不回應(yīng)张症，這樣，目的主機(jī)就為這些源主機(jī)建立了大量的連接隊(duì)列鸵贬，而且由于沒(méi)有收到ACK一直維護(hù)著這
些隊(duì)列，造成了資源的大量消耗而不能向正常請(qǐng)求提供服務(wù)脖捻。
Smurf：該攻擊向一個(gè)子網(wǎng)的廣播地址發(fā)一個(gè)帶有特定請(qǐng)求（如ICMP回應(yīng)請(qǐng)求）的包阔逼，并且將源地址偽裝成想要攻擊的主機(jī)地址。子網(wǎng)上所有主機(jī)都回應(yīng)廣播包請(qǐng)求而向被攻擊主機(jī)發(fā)包地沮，使該主機(jī)受到攻擊嗜浮。
Land-based：攻擊者將一個(gè)包的源地址和目的地址都設(shè)置為目標(biāo)主機(jī)的地址，然后將該包通過(guò)IP欺騙的方式發(fā)送給被攻擊主機(jī)摩疑，這種包可以造成被攻擊主機(jī)因試圖與自己建立連接而陷入死循環(huán)危融，從而很大程度地降低了系統(tǒng)性能。
Ping of Death：根據(jù)TCP/IP的規(guī)范雷袋，一個(gè)包的長(zhǎng)度最大為65536字節(jié)吉殃。盡管一個(gè)包的長(zhǎng)度不能超過(guò)65536字節(jié)，但是一個(gè)包分成的多個(gè)片段的疊加卻能做到楷怒。當(dāng)一個(gè)主機(jī)收到了長(zhǎng)度大于65536字節(jié)的包時(shí)蛋勺，就是受到了Ping of Death攻擊，該攻擊會(huì)造成主機(jī)的宕機(jī)鸠删。
Teardrop：IP數(shù)據(jù)包在網(wǎng)絡(luò)傳遞時(shí)抱完，數(shù)據(jù)包可以分成更小的片段。攻擊者可以通過(guò)發(fā)送兩段（或者更多）數(shù)據(jù)包來(lái)實(shí)現(xiàn)TearDrop攻擊刃泡。第一個(gè)包的偏移量為0巧娱，長(zhǎng)度為N碉怔，第二個(gè)包的偏移量小于N。為了合并這些數(shù)據(jù)段禁添，TCP/IP堆棧會(huì)分配超乎尋常的巨大資源撮胧，從而造成系統(tǒng)資源的缺乏甚至機(jī)器的重新啟動(dòng)。
PingSweep：使用ICMP Echo輪詢多個(gè)主機(jī)上荡。
sign 簡(jiǎn)介
nonce：隨機(jī)值趴樱，是客戶端隨機(jī)生成的值，作為參數(shù)傳遞過(guò)來(lái)酪捡，隨機(jī)值的目的是增加sign簽名的多變性叁征。隨機(jī)值一般是數(shù)字和字母的組合，6位長(zhǎng)度逛薇，隨機(jī)值的組成和長(zhǎng)度沒(méi)有固定規(guī)則捺疼。
sign: 一般用于參數(shù)簽名，防止參數(shù)被非法篡改永罚，最常見(jiàn)的是修改金額等重要敏感參數(shù)啤呼，
sign的值一般是將所有非空參數(shù)按照升續(xù)排序然后+token+key+timestamp+nonce(隨機(jī)數(shù))拼接在一起，然后使用某種加密算法進(jìn)行加密呢袱，作為接口中的一個(gè)參數(shù)sign來(lái)傳遞官扣，也可以將sign放到請(qǐng)求頭中。接口在網(wǎng)絡(luò)傳輸過(guò)程中如果被黑客挾持羞福，并修改其中的參數(shù)值惕蹄，然后再繼續(xù)調(diào)用接口，雖然參數(shù)的值被修改了治专，但是因?yàn)楹诳筒恢纒ign是如何計(jì)算出來(lái)的卖陵，不知道sign都有哪些值構(gòu)成，不知道以怎樣的順序拼接在一起的张峰，最重要的是不知道簽名字符串中的key是什么泪蔫，所以黑客可以篡改參數(shù)的值，但沒(méi)法修改sign的值喘批，當(dāng)服務(wù)器調(diào)用接口前會(huì)按照sign的規(guī)則重新計(jì)算出sign的值然后和接口傳遞的sign參數(shù)的值做比較撩荣，如果相等表示參數(shù)值沒(méi)有被篡改，如果不等谤祖，表示參數(shù)被非法篡改了婿滓，就不執(zhí)行接口了。
防止重復(fù)提交
對(duì)于一些重要的操作需要防止客戶端重復(fù)提交的(如非冪等性重要操作)粥喜，具體辦法是當(dāng)請(qǐng)求第一次提交時(shí)將sign作為key保存到redis凸主，并設(shè)置超時(shí)時(shí)間，超時(shí)時(shí)間和Timestamp中設(shè)置的差值相同额湘。當(dāng)同一個(gè)請(qǐng)求第二次訪問(wèn)時(shí)會(huì)先檢測(cè)redis是否存在該sign卿吐，如果存在則證明重復(fù)提交了旁舰，接口就不再繼續(xù)調(diào)用了。如果sign在緩存服務(wù)器中因過(guò)期時(shí)間到了嗡官，而被刪除了箭窜，此時(shí)當(dāng)這個(gè)url再次請(qǐng)求服務(wù)器時(shí)，因token的過(guò)期時(shí)間和sign的過(guò)期時(shí)間一直衍腥，sign過(guò)期也意味著token過(guò)期磺樱，那樣同樣的url再訪問(wèn)服務(wù)器會(huì)因token錯(cuò)誤會(huì)被攔截掉，這就是為什么sign和token的過(guò)期時(shí)間要保持一致的原因婆咸。拒絕重復(fù)調(diào)用機(jī)制確保URL被別人截獲了也無(wú)法使用（如抓取數(shù)據(jù)）竹捉。
對(duì)于哪些接口需要防止重復(fù)提交可以自定義個(gè)注解來(lái)標(biāo)記。
注意：所有的安全措施都用上的話有時(shí)候難免太過(guò)復(fù)雜尚骄，在實(shí)際項(xiàng)目中需要根據(jù)自身情況作出裁剪块差，比如可以只使用簽名機(jī)制就可以保證信息不會(huì)被篡改，或者定向提供服務(wù)的時(shí)候只用Token機(jī)制就可以了倔丈。如何裁剪憨闰，全看項(xiàng)目實(shí)際情況和對(duì)接口安全性的要求。
使用流程
接口調(diào)用方(客戶端)向接口提供方(服務(wù)器)申請(qǐng)接口調(diào)用賬號(hào)需五，申請(qǐng)成功后鹉动，接口提供方會(huì)給接口調(diào)用方一個(gè)appId和一個(gè)key參數(shù)
客戶端攜帶參數(shù)appId、timestamp宏邮、sign去調(diào)用服務(wù)器端的API token训裆，其中sign=加密(appId + timestamp + key)
客戶端拿著api_token 去訪問(wèn)不需要登錄就能訪問(wèn)的接口
當(dāng)訪問(wèn)用戶需要登錄的接口時(shí)，客戶端跳轉(zhuǎn)到登錄頁(yè)面蜀铲，通過(guò)用戶名和密碼調(diào)用登錄接口，登錄接口會(huì)返回一個(gè)usertoken, 客戶端拿著usertoken 去訪問(wèn)需要登錄才能訪問(wèn)的接口
sign的作用是防止參數(shù)被篡改属百，客戶端調(diào)用服務(wù)端時(shí)需要傳遞sign參數(shù)记劝，服務(wù)器響應(yīng)客戶端時(shí)也可以返回一個(gè)sign用于客戶度校驗(yàn)返回的值是否被非法篡改了∽迦牛客戶端傳的sign和服務(wù)器端響應(yīng)的sign算法可能會(huì)不同厌丑。
示例代碼
dependency
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-data-redis</artifactId>
</dependency>
<dependency>
<groupId>redis.clients</groupId>
<artifactId>jedis</artifactId>
<version>2.9.0</version>
</dependency>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-web</artifactId>
</dependency>
RedisConfiguration
@Configuration
public class RedisConfiguration {
@Bean
public JedisConnectionFactory jedisConnectionFactory(){
return new JedisConnectionFactory();
}
/**
* 支持存儲(chǔ)對(duì)象
* @return
*/
@Bean
public RedisTemplate<String, String> redisTemplate(){
RedisTemplate<String, String> redisTemplate = new StringRedisTemplate();
redisTemplate.setConnectionFactory(jedisConnectionFactory());
Jackson2JsonRedisSerializer jackson2JsonRedisSerializer = new Jackson2JsonRedisSerializer(Object.class);
ObjectMapper objectMapper = new ObjectMapper();
objectMapper.setVisibility(PropertyAccessor.ALL, JsonAutoDetect.Visibility.ANY);
objectMapper.enableDefaultTyping(ObjectMapper.DefaultTyping.NON_FINAL);
jackson2JsonRedisSerializer.setObjectMapper(objectMapper);
redisTemplate.setValueSerializer(jackson2JsonRedisSerializer);
redisTemplate.afterPropertiesSet();
return redisTemplate;
}
}
TokenController
@Slf4j
@RestController
@RequestMapping("/api/token")
public class TokenController {
@Autowired
private RedisTemplate redisTemplate;
/**
* API Token
*
* @param sign
* @return
*/
@PostMapping("/api_token")
public ApiResponse<AccessToken> apiToken(String appId, @RequestHeader("timestamp") String timestamp, @RequestHeader("sign") String sign) {
Assert.isTrue(!StringUtils.isEmpty(appId) && !StringUtils.isEmpty(timestamp) && !StringUtils.isEmpty(sign), "參數(shù)錯(cuò)誤");
long reqeustInterval = System.currentTimeMillis() - Long.valueOf(timestamp);
Assert.isTrue(reqeustInterval < 5 * 60 * 1000, "請(qǐng)求過(guò)期，請(qǐng)重新請(qǐng)求");
// 1. 根據(jù)appId查詢數(shù)據(jù)庫(kù)獲取appSecret
AppInfo appInfo = new AppInfo("1", "12345678954556");
// 2. 校驗(yàn)簽名
String signString = timestamp + appId + appInfo.getKey();
String signature = MD5Util.encode(signString);
log.info(signature);
Assert.isTrue(signature.equals(sign), "簽名錯(cuò)誤");
// 3. 如果正確生成一個(gè)token保存到redis中渔呵，如果錯(cuò)誤返回錯(cuò)誤信息
AccessToken accessToken = this.saveToken(0, appInfo, null);
return ApiResponse.success(accessToken);
}
@NotRepeatSubmit(5000)
@PostMapping("user_token")
public ApiResponse<UserInfo> userToken(String username, String password) {
// 根據(jù)用戶名查詢密碼, 并比較密碼(密碼可以RSA加密一下)
UserInfo userInfo = new UserInfo(username, "81255cb0dca1a5f304328a70ac85dcbd", "111111");
String pwd = password + userInfo.getSalt();
String passwordMD5 = MD5Util.encode(pwd);
Assert.isTrue(passwordMD5.equals(userInfo.getPassword()), "密碼錯(cuò)誤");
// 2. 保存Token
AppInfo appInfo = new AppInfo("1", "12345678954556");
AccessToken accessToken = this.saveToken(1, appInfo, userInfo);
userInfo.setAccessToken(accessToken);
return ApiResponse.success(userInfo);
}
private AccessToken saveToken(int tokenType, AppInfo appInfo, UserInfo userInfo) {
String token = UUID.randomUUID().toString();
// token有效期為2小時(shí)
Calendar calendar = Calendar.getInstance();
calendar.setTime(new Date());
calendar.add(Calendar.SECOND, 7200);
Date expireTime = calendar.getTime();
// 4. 保存token
ValueOperations<String, TokenInfo> operations = redisTemplate.opsForValue();
TokenInfo tokenInfo = new TokenInfo();
tokenInfo.setTokenType(tokenType);
tokenInfo.setAppInfo(appInfo);
if (tokenType == 1) {
tokenInfo.setUserInfo(userInfo);
}
operations.set(token, tokenInfo, 7200, TimeUnit.SECONDS);
AccessToken accessToken = new AccessToken(token, expireTime);
return accessToken;
}
public static void main(String[] args) {
long timestamp = System.currentTimeMillis();
System.out.println(timestamp);
String signString = timestamp + "1" + "12345678954556";
String sign = MD5Util.encode(signString);
System.out.println(sign);
System.out.println("-------------------");
signString = "password=123456&username=1&12345678954556" + "ff03e64b-427b-45a7-b78b-47d9e8597d3b1529815393153sdfsdfsfs" + timestamp + "A1scr6";
sign = MD5Util.encode(signString);
System.out.println(sign);
}
}
WebMvcConfiguration
@Configuration
public class WebMvcConfiguration extends WebMvcConfigurationSupport {
private static final String[] excludePathPatterns = {"/api/token/api_token"};
@Autowired
private TokenInterceptor tokenInterceptor;
@Override
public void addInterceptors(InterceptorRegistry registry) {
super.addInterceptors(registry);
registry.addInterceptor(tokenInterceptor)
.addPathPatterns("/api/**")
.excludePathPatterns(excludePathPatterns);
}
}
5. TokenInterceptor
@Component
public class TokenInterceptor extends HandlerInterceptorAdapter {
@Autowired
private RedisTemplate redisTemplate;
/**
*
* @param request
* @param response
* @param handler 訪問(wèn)的目標(biāo)方法
* @return
* @throws Exception
*/
@Override
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
String token = request.getHeader("token");
String timestamp = request.getHeader("timestamp");
// 隨機(jī)字符串
String nonce = request.getHeader("nonce");
String sign = request.getHeader("sign");
Assert.isTrue(!StringUtils.isEmpty(token) && !StringUtils.isEmpty(timestamp) && !StringUtils.isEmpty(sign), "參數(shù)錯(cuò)誤");
// 獲取超時(shí)時(shí)間
NotRepeatSubmit notRepeatSubmit = ApiUtil.getNotRepeatSubmit(handler);
long expireTime = notRepeatSubmit == null ? 5 * 60 * 1000 : notRepeatSubmit.value();
// 2. 請(qǐng)求時(shí)間間隔
long reqeustInterval = System.currentTimeMillis() - Long.valueOf(timestamp);
Assert.isTrue(reqeustInterval < expireTime, "請(qǐng)求超時(shí)怒竿，請(qǐng)重新請(qǐng)求");
// 3. 校驗(yàn)Token是否存在
ValueOperations<String, TokenInfo> tokenRedis = redisTemplate.opsForValue();
TokenInfo tokenInfo = tokenRedis.get(token);
Assert.notNull(tokenInfo, "token錯(cuò)誤");
// 4. 校驗(yàn)簽名(將所有的參數(shù)加進(jìn)來(lái)，防止別人篡改參數(shù)) 所有參數(shù)看參數(shù)名升續(xù)排序拼接成url
// 請(qǐng)求參數(shù) + token + timestamp + nonce
String signString = ApiUtil.concatSignString(request) + tokenInfo.getAppInfo().getKey() + token + timestamp + nonce;
String signature = MD5Util.encode(signString);
boolean flag = signature.equals(sign);
Assert.isTrue(flag, "簽名錯(cuò)誤");
// 5. 拒絕重復(fù)調(diào)用(第一次訪問(wèn)時(shí)存儲(chǔ)扩氢，過(guò)期時(shí)間和請(qǐng)求超時(shí)時(shí)間保持一致), 只有標(biāo)注不允許重復(fù)提交注解的才會(huì)校驗(yàn)
if (notRepeatSubmit != null) {
ValueOperations<String, Integer> signRedis = redisTemplate.opsForValue();
boolean exists = redisTemplate.hasKey(sign);
Assert.isTrue(!exists, "請(qǐng)勿重復(fù)提交");
signRedis.set(sign, 0, expireTime, TimeUnit.MILLISECONDS);
}
return super.preHandle(request, response, handler);
}
}
MD5Util ----MD5工具類耕驰，加密生成數(shù)字簽名
public class MD5Util {
private static final String hexDigits[] = { "0", "1", "2", "3", "4", "5",
"6", "7", "8", "9", "a", "b", "c", "d", "e", "f" };
private static String byteArrayToHexString(byte b[]) {
StringBuffer resultSb = new StringBuffer();
for (int i = 0; i < b.length; i++)
resultSb.append(byteToHexString(b[i]));
return resultSb.toString();
}
private static String byteToHexString(byte b) {
int n = b;
if (n < 0)
n += 256;
int d1 = n / 16;
int d2 = n % 16;
return hexDigits[d1] + hexDigits[d2];
}
public static String encode(String origin) {
return encode(origin, "UTF-8");
}
public static String encode(String origin, String charsetname) {
String resultString = null;
try {
resultString = new String(origin);
MessageDigest md = MessageDigest.getInstance("MD5");
if (charsetname == null || "".equals(charsetname))
resultString = byteArrayToHexString(md.digest(resultString
.getBytes()));
else
resultString = byteArrayToHexString(md.digest(resultString
.getBytes(charsetname)));
} catch (Exception exception) {
}
return resultString;
}
}
@NotRepeatSubmit -----自定義注解，防止重復(fù)提交录豺。
/**
* 禁止重復(fù)提交
*/
@Target(ElementType.METHOD)
@Retention(RetentionPolicy.RUNTIME)
public @interface NotRepeatSubmit {
/** 過(guò)期時(shí)間朦肘，單位毫秒 **/
long value() default 5000;
}
AccessToken
@Data
@AllArgsConstructor
public class AccessToken {
/** token */
private String token;
/** 失效時(shí)間 */
private Date expireTime;
}
AppInfo
@Data
@NoArgsConstructor
@AllArgsConstructor
public class AppInfo {
/** App id */
private String appId;
/** API 秘鑰 */
private String key;
}
TokenInfo
@Data
public class TokenInfo {
/** token類型: api:0 饭弓、user:1 */
private Integer tokenType;
/** App 信息 */
private AppInfo appInfo;
/** 用戶其他數(shù)據(jù) */
private UserInfo userInfo;
}
UserInfo
@Data
public class UserInfo {
/** 用戶名 */
private String username;
/** 手機(jī)號(hào) */
private String mobile;
/** 郵箱 */
private String email;
/** 密碼 */
private String password;
/** 鹽 */
private String salt;
private AccessToken accessToken;
public UserInfo(String username, String password, String salt) {
this.username = username;
this.password = password;
this.salt = salt;
}
}
ApiCodeEnum
/**
* 錯(cuò)誤碼code可以使用純數(shù)字,使用不同區(qū)間標(biāo)識(shí)一類錯(cuò)誤，也可以使用純字符媒抠，也可以使用前綴+編號(hào)
*
* 錯(cuò)誤碼：ERR + 編號(hào)
*
* 可以使用日志級(jí)別的前綴作為錯(cuò)誤類型區(qū)分 Info(I) Error(E) Warning(W)
*
* 或者以業(yè)務(wù)模塊 + 錯(cuò)誤號(hào)
*
* TODO 錯(cuò)誤碼設(shè)計(jì)
*
* Alipay 用了兩個(gè)code弟断，兩個(gè)msg(https://docs.open.alipay.com/api_1/alipay.trade.pay)
*/
public enum ApiCodeEnum {
SUCCESS("10000", "success"),
UNKNOW_ERROR("ERR0001","未知錯(cuò)誤"),
PARAMETER_ERROR("ERR0002","參數(shù)錯(cuò)誤"),
TOKEN_EXPIRE("ERR0003","認(rèn)證過(guò)期"),
REQUEST_TIMEOUT("ERR0004","請(qǐng)求超時(shí)"),
SIGN_ERROR("ERR0005","簽名錯(cuò)誤"),
REPEAT_SUBMIT("ERR0006","請(qǐng)不要頻繁操作"),
;
/** 代碼 */
private String code;
/** 結(jié)果 */
private String msg;
ApiCodeEnum(String code, String msg) {
this.code = code;
this.msg = msg;
}
public String getCode() {
return code;
}
public String getMsg() {
return msg;
}
}
ApiResult
@Data
@NoArgsConstructor
@AllArgsConstructor
public class ApiResult {
/** 代碼 */
private String code;
/** 結(jié)果 */
private String msg;
}
ApiUtil -------這個(gè)參考支付寶加密的算法寫(xiě)的.我直接Copy過(guò)來(lái)了。
public class ApiUtil {
/**
* 按參數(shù)名升續(xù)拼接參數(shù)
* @param request
* @return
*/
public static String concatSignString(HttpServletRequest request) {
Map<String, String> paramterMap = new HashMap<>();
request.getParameterMap().forEach((key, value) -> paramterMap.put(key, value[0]));
// 按照key升續(xù)排序趴生，然后拼接參數(shù)
Set<String> keySet = paramterMap.keySet();
String[] keyArray = keySet.toArray(new String[keySet.size()]);
Arrays.sort(keyArray);
StringBuilder sb = new StringBuilder();
for (String k : keyArray) {
// 或略掉的字段
if (k.equals("sign")) {
continue;
}
if (paramterMap.get(k).trim().length() > 0) {
// 參數(shù)值為空阀趴，則不參與簽名
sb.append(k).append("=").append(paramterMap.get(k).trim()).append("&");
}
}
return sb.toString();
}
public static String concatSignString(Map<String, String> map) {
Map<String, String> paramterMap = new HashMap<>();
map.forEach((key, value) -> paramterMap.put(key, value));
// 按照key升續(xù)排序，然后拼接參數(shù)
Set<String> keySet = paramterMap.keySet();
String[] keyArray = keySet.toArray(new String[keySet.size()]);
Arrays.sort(keyArray);
StringBuilder sb = new StringBuilder();
for (String k : keyArray) {
if (paramterMap.get(k).trim().length() > 0) {
// 參數(shù)值為空苍匆，則不參與簽名
sb.append(k).append("=").append(paramterMap.get(k).trim()).append("&");
}
}
return sb.toString();
}
/**
* 獲取方法上的@NotRepeatSubmit注解
* @param handler
* @return
*/
public static NotRepeatSubmit getNotRepeatSubmit(Object handler) {
if (handler instanceof HandlerMethod) {
HandlerMethod handlerMethod = (HandlerMethod) handler;
Method method = handlerMethod.getMethod();
NotRepeatSubmit annotation = method.getAnnotation(NotRepeatSubmit.class);
return annotation;
}
return null;
}
}
ApiResponse
@Data
@Slf4j
public class ApiResponse<T> {
/** 結(jié)果 */
private ApiResult result;
/** 數(shù)據(jù) */
private T data;
/** 簽名 */
private String sign;
public static <T> ApiResponse success(T data) {
return response(ApiCodeEnum.SUCCESS.getCode(), ApiCodeEnum.SUCCESS.getMsg(), data);
}
public static ApiResponse error(String code, String msg) {
return response(code, msg, null);
}
public static <T> ApiResponse response(String code, String msg, T data) {
ApiResult result = new ApiResult(code, msg);
ApiResponse response = new ApiResponse();
response.setResult(result);
response.setData(data);
String sign = signData(data);
response.setSign(sign);
return response;
}
private static <T> String signData(T data) {
// TODO 查詢key
String key = "12345678954556";
Map<String, String> responseMap = null;
try {
responseMap = getFields(data);
} catch (IllegalAccessException e) {
return null;
}
String urlComponent = ApiUtil.concatSignString(responseMap);
String signature = urlComponent + "key=" + key;
String sign = MD5Util.encode(signature);
return sign;
}
/**
* @param data 反射的對(duì)象,獲取對(duì)象的字段名和值
* @throws IllegalArgumentException
* @throws IllegalAccessException
*/
public static Map<String, String> getFields(Object data) throws IllegalAccessException, IllegalArgumentException {
if (data == null) return null;
Map<String, String> map = new HashMap<>();
Field[] fields = data.getClass().getDeclaredFields();
for (int i = 0; i < fields.length; i++) {
Field field = fields[i];
field.setAccessible(true);
String name = field.getName();
Object value = field.get(data);
if (field.get(data) != null) {
map.put(name, value.toString());
}
}
return map;
}
}
ThreadLocal
ThreadLocal是線程內(nèi)的全局上下文刘急。就是在單個(gè)線程中，方法之間共享的內(nèi)存锉桑，每個(gè)方法都可以從該上下文中獲取值和修改值排霉。
實(shí)際案例：
在調(diào)用api時(shí)都會(huì)傳一個(gè)token參數(shù)，通常會(huì)寫(xiě)一個(gè)攔截器來(lái)校驗(yàn)token是否合法民轴，我們可以通過(guò)token找到對(duì)應(yīng)的用戶信息(User)攻柠，如果token合法，然后將用戶信息存儲(chǔ)到ThreadLocal中后裸，這樣無(wú)論是在controller瑰钮、service、dao的哪一層都能訪問(wèn)到該用戶的信息微驶。作用類似于Web中的request作用域浪谴。
傳統(tǒng)方式我們要在方法中訪問(wèn)某個(gè)變量，可以通過(guò)傳參的形式往方法中傳參因苹，如果多個(gè)方法都要使用那么每個(gè)方法都要傳參苟耻；如果使用ThreadLocal所有方法就不需要傳該參數(shù)了，每個(gè)方法都可以通過(guò)ThreadLocal來(lái)訪問(wèn)該值扶檐。
ThreadLocalUtil.set("key", value); 保存值
T value = ThreadLocalUtil.get("key"); 獲取值
ThreadLocalUtil
public class ThreadLocalUtil<T> {
private static final ThreadLocal<Map<String, Object>> threadLocal = new ThreadLocal() {
@Override
protected Map<String, Object> initialValue() {
return new HashMap<>(4);
}
};
public static Map<String, Object> getThreadLocal(){
return threadLocal.get();
}
public static <T> T get(String key) {
Map map = (Map)threadLocal.get();
return (T)map.get(key);
}
public static <T> T get(String key,T defaultValue) {
Map map = (Map)threadLocal.get();
return (T)map.get(key) == null ? defaultValue : (T)map.get(key);
}
public static void set(String key, Object value) {
Map map = (Map)threadLocal.get();
map.put(key, value);
}
public static void set(Map<String, Object> keyValueMap) {
Map map = (Map)threadLocal.get();
map.putAll(keyValueMap);
}
public static void remove() {
threadLocal.remove();
}
public static <T> Map<String,T> fetchVarsByPrefix(String prefix) {
Map<String,T> vars = new HashMap<>();
if( prefix == null ){
return vars;
}
Map map = (Map)threadLocal.get();
Set<Map.Entry> set = map.entrySet();
for( Map.Entry entry : set){
Object key = entry.getKey();
if( key instanceof String ){
if( ((String) key).startsWith(prefix) ){
vars.put((String)key,(T)entry.getValue());
}
}
}
return vars;
}
public static <T> T remove(String key) {
Map map = (Map)threadLocal.get();
return (T)map.remove(key);
}
public static void clear(String prefix) {
if( prefix == null ){
return;
}
Map map = (Map)threadLocal.get();
Set<Map.Entry> set = map.entrySet();
List<String> removeKeys = new ArrayList<>();
for( Map.Entry entry : set ){
Object key = entry.getKey();
if( key instanceof String ){
if( ((String) key).startsWith(prefix) ){
removeKeys.add((String)key);
}
}
}
for( String key : removeKeys ){
map.remove(key);
}
}
}
總結(jié)
這個(gè)是目前第三方數(shù)據(jù)接口交互過(guò)程中常用的一些參數(shù)與使用示例凶杖，希望對(duì)大家有點(diǎn)幫助。當(dāng)然如果為了保證更加的安全款筑，可以加上RSA,RSA2智蝠，AES等等加密方式，保證了數(shù)據(jù)的更加的安全奈梳，但是唯一的缺點(diǎn)是加密與解密比較耗費(fèi)CPU的資源.
