API安全-臨時記錄

1.API安全

(1)簽名（sign）

(2)令牌（token）

(3)過期時間

(4)超時時間

接口說明：獲取會員個人資料?

接口地址：http://v1.api.tomener.com/member/profile?

請求方式：GET

請求參數(shù)：

1.id?（會員ID）

2.t（當前時間戳）?

3、sign（簽名）

4、token

返回的值：

一般我們在設計API的時候纯趋，都會有個簽名，就是一個將參數(shù)加密之后的字符串柬泽，我們叫sign?

具體生成簽名的算法可以參考支付寶

之前的API大概是這么設計的?，但是,如果用wireshark或tcpdump工具截獲了請求嫁蛇，

那么別人就可以通過這個永久的獲取會員的信息了锨并，所以，我想應該有個時間限制睬棚，比如這個請求在6秒之內有效第煮，那么，我們就應該再傳一個參數(shù)t（當前時間戳）?抑党。

這時候包警，問題來了，客戶端的時間和服務端的時間是不一致的

我的解決方法：

?客戶端登錄的時候獲取服務端的時間戳和自己的時間戳對比底靠，看相差了幾秒并保存這個差值害晦，請求的時候慢了幾秒就加幾秒，快了幾秒就減幾秒

?API得到請求后：

1暑中、判斷是否過期

2壹瘟、判斷sign是否有效

3、參數(shù)的合法性驗證?

1.調用接口需要授權,授權之后使用方拿到用戶名 token 等授權信息

2.使用方調用接口參數(shù)包含: 用戶名 token或者簽名兒等接口參數(shù)

3.可以設置token的過期時間和token調用次數(shù)限制

4.可以記錄每個用戶的調用次數(shù) 調用記錄

最后編輯于：2017.12.08 06:07:45

?著作權歸作者所有,轉載或內容合作請聯(lián)系作者

人面猴
序言：七十年代末鳄逾，一起剝皮案震驚了整個濱河市稻轨，隨后出現(xiàn)的幾起案子，更是在濱河造成了極大的恐慌雕凹，老刑警劉巖殴俱，帶你破解...
沈念sama閱讀 206,378評論 6贊 481
死咒
序言：濱河連續(xù)發(fā)生了三起死亡事件政冻，死亡現(xiàn)場離奇詭異，居然都是意外死亡线欲，警方通過查閱死者的電腦和手機明场，發(fā)現(xiàn)死者居然都...
沈念sama閱讀 88,356評論 2贊 382
救了他兩次的神仙讓他今天三更去死
文/潘曉璐我一進店門，熙熙樓的掌柜王于貴愁眉苦臉地迎上來李丰，“玉大人榕堰，你說我怎么就攤上這事∠犹祝” “怎么了？”我有些...
開封第一講書人閱讀 152,702評論 0贊 342
道士緝兇錄：失蹤的賣姜人
文/不壞的土叔我叫張陵圾旨，是天一觀的道長踱讨。經常有香客問我，道長砍的，這世上最難降的妖魔是什么痹筛？我笑而不...
開封第一講書人閱讀 55,259評論 1贊 279
?港島之戀（遺憾婚禮）
正文為了忘掉前任，我火速辦了婚禮廓鞠，結果婚禮上帚稠，老公的妹妹穿的比我還像新娘。我一直安慰自己床佳，他們只是感情好滋早，可當我...
茶點故事閱讀 64,263評論 5贊 371
惡毒庶女頂嫁案：這布局不是一般人想出來的
文/花漫我一把揭開白布。她就那樣靜靜地躺著砌们，像睡著了一般杆麸。火紅的嫁衣襯著肌膚如雪。梳的紋絲不亂的頭發(fā)上浪感，一...
開封第一講書人閱讀 49,036評論 1贊 285
城市分裂傳說
那天昔头，我揣著相機與錄音，去河邊找鬼影兽。笑死揭斧，一個胖子當著我的面吹牛，可吹牛的內容都是我干的峻堰。我是一名探鬼主播讹开，決...
沈念sama閱讀 38,349評論 3贊 400
雙鴛鴦連環(huán)套：你想象不到人心有多黑
文/蒼蘭香墨我猛地睜開眼，長吁一口氣：“原來是場噩夢啊……” “哼捐名！你這毒婦竟也來了萧吠？” 一聲冷哼從身側響起，我...
開封第一講書人閱讀 36,979評論 0贊 259
萬榮殺人案實錄
序言：老撾萬榮一對情侶失蹤桐筏，失蹤者是張志新（化名）和其女友劉穎纸型，沒想到半個月后，有當?shù)厝嗽跇淞掷锇l(fā)現(xiàn)了一具尸體，經...
沈念sama閱讀 43,469評論 1贊 300
?護林員之死
正文獨居荒郊野嶺守林人離奇死亡狰腌，尸身上長有42處帶血的膿包…… 初始之章·張勛以下內容為張勛視角年9月15日...
茶點故事閱讀 35,938評論 2贊 323
?白月光啟示錄
正文我和宋清朗相戀三年除破，在試婚紗的時候發(fā)現(xiàn)自己被綠了。大學時的朋友給我發(fā)了我未婚夫和他白月光在一起吃飯的照片琼腔。...
茶點故事閱讀 38,059評論 1贊 333
活死人
序言：一個原本活蹦亂跳的男人離奇死亡瑰枫，死狀恐怖，靈堂內的尸體忽然破棺而出丹莲，到底是詐尸還是另有隱情光坝，我是刑警寧澤，帶...
沈念sama閱讀 33,703評論 4贊 323
?日本核電站爆炸內幕
正文年R本政府宣布甥材，位于F島的核電站盯另，受9級特大地震影響，放射性物質發(fā)生泄漏洲赵。R本人自食惡果不足惜鸳惯，卻給世界環(huán)境...
茶點故事閱讀 39,257評論 3贊 307
男人毒藥：我在死后第九天來索命
文/蒙蒙一、第九天我趴在偏房一處隱蔽的房頂上張望叠萍。院中可真熱鬧芝发，春花似錦、人聲如沸苛谷。這莊子的主人今日做“春日...
開封第一講書人閱讀 30,262評論 0贊 19
一樁弒父案，背后竟有這般陰謀
文/蒼蘭香墨我抬頭看了看天上的太陽腹殿。三九已至瓢湃，卻和暖如春，著一層夾襖步出監(jiān)牢的瞬間赫蛇，已是汗流浹背绵患。一陣腳步聲響...
開封第一講書人閱讀 31,485評論 1贊 262
情欲美人皮
我被黑心中介騙來泰國打工，沒想到剛下飛機就差點兒被人妖公主榨干…… 1. 我叫王不留悟耘，地道東北人落蝙。一個月前我還...
沈念sama閱讀 45,501評論 2贊 354
代替公主和親
正文我出身青樓，卻偏偏與公主長得像暂幼，于是被迫代替她去往敵國和親筏勒。傳聞我的和親對象是個殘疾皇子，可洞房花燭夜當晚...
茶點故事閱讀 42,792評論 2贊 345

API安全-臨時記錄

1.API安全

(1)簽名（sign）

(2)令牌（token）

(3)過期時間

(4)超時時間

接口說明：獲取會員個人資料?

接口地址：http://v1.api.tomener.com/member/profile?

請求方式：GET

請求參數(shù)：

1.id?（會員ID）

2.t（當前時間戳）?

3、sign（簽名）

4、token

返回的值：

一般我們在設計API的時候纯趋，都會有個簽名，就是一個將參數(shù)加密之后的字符串柬泽，我們叫sign?

具體生成簽名的算法可以參考支付寶

之前的API大概是這么設計的?，但是,如果用wireshark或tcpdump工具截獲了請求嫁蛇，

那么別人就可以通過這個永久的獲取會員的信息了锨并，所以，我想應該有個時間限制睬棚，比如這個請求在6秒之內有效第煮，那么，我們就應該再傳一個參數(shù)t（當前時間戳）?抑党。

這時候包警，問題來了，客戶端的時間和服務端的時間是不一致的

我的解決方法：

?客戶端登錄的時候獲取服務端的時間戳和自己的時間戳對比底靠，看相差了幾秒并保存這個差值害晦，請求的時候慢了幾秒就加幾秒，快了幾秒就減幾秒

?API得到請求后：

1暑中、判斷是否過期

2壹瘟、判斷sign是否有效

3、參數(shù)的合法性驗證?

1.調用接口需要授權,授權之后 使用方拿到 用戶名 token 等授權信息

2.使用方調用接口 參數(shù)包含: 用戶名 token或者簽名兒 等接口參數(shù)

3.可以設置token的過期時間和token調用次數(shù)限制

4.可以記錄每個用戶的調用次數(shù) 調用記錄

推薦閱讀更多精彩內容

1.調用接口需要授權,授權之后使用方拿到用戶名 token 等授權信息

2.使用方調用接口參數(shù)包含: 用戶名 token或者簽名兒等接口參數(shù)