在實(shí)際的業(yè)務(wù)中疯潭，難免會(huì)跟第三方系統(tǒng)進(jìn)行數(shù)據(jù)的交互與傳遞，那么如何保證數(shù)據(jù)在傳輸過(guò)程中的安全呢（防竊让嬷场）竖哩？除了https的協(xié)議之外，能不能加上通用的一套算法以及規(guī)范來(lái)保證傳輸?shù)陌踩阅兀?/p>

一脊僚、token

Token：訪問(wèn)令牌access token, 用于接口中, 用于標(biāo)識(shí)接口調(diào)用者的身份相叁、憑證，減少用戶名和密碼的傳輸次數(shù)辽幌。一般情況下客戶端(接口調(diào)用方)需要先向服務(wù)器端申請(qǐng)一個(gè)接口調(diào)用的賬號(hào)增淹，服務(wù)器會(huì)給出一個(gè)appId和一個(gè)key, key用于參數(shù)簽名使用，注意key保存到客戶端乌企，需要做一些安全處理虑润，防止泄露。

Token的值一般是UUID加酵，服務(wù)端生成Token后需要將token做為key拳喻，將一些和token關(guān)聯(lián)的信息作為value保存到緩存服務(wù)器中(redis)，當(dāng)一個(gè)請(qǐng)求過(guò)來(lái)后猪腕，服務(wù)器就去緩存服務(wù)器中查詢這個(gè)Token是否存在冗澈，存在則調(diào)用接口，不存在返回接口錯(cuò)誤陋葡，一般通過(guò)攔截器或者過(guò)濾器來(lái)實(shí)現(xiàn)亚亲，Token分為兩種：

API Token(接口令牌): 用于訪問(wèn)不需要用戶登錄的接口，如登錄、注冊(cè)捌归、一些基本數(shù)據(jù)的獲取等肛响。 獲取接口令牌需要拿appId、timestamp和sign來(lái)?yè)Q陨溅，sign=加密(timestamp+key)
USER Token(用戶令牌): 用于訪問(wèn)需要用戶登錄之后的接口终惑，如：獲取我的基本信息、保存门扇、修改雹有、刪除等操作。獲取用戶令牌需要拿用戶名和密碼來(lái)?yè)Q
關(guān)于Token的時(shí)效性：token可以是一次性的臼寄、也可以在一段時(shí)間范圍內(nèi)是有效的霸奕，具體使用哪種看業(yè)務(wù)需要。

一般情況下接口最好使用https協(xié)議吉拳，如果使用http協(xié)議质帅，Token機(jī)制只是一種減少被黑的可能性，其實(shí)只能防君子不能防小人留攒。

一般token煤惩、timestamp和sign 三個(gè)參數(shù)會(huì)在接口中會(huì)同時(shí)作為參數(shù)傳遞，每個(gè)參數(shù)都有各自的用途炼邀。

二魄揉、timestamp 簡(jiǎn)介

timestamp: 時(shí)間戳，是客戶端調(diào)用接口時(shí)對(duì)應(yīng)的當(dāng)前時(shí)間戳拭宁，時(shí)間戳用于防止DoS攻擊洛退。當(dāng)黑客劫持了請(qǐng)求的url去DoS攻擊，每次調(diào)用接口時(shí)接口都會(huì)判斷服務(wù)器當(dāng)前系統(tǒng)時(shí)間和接口中傳的的timestamp的差值杰标，如果這個(gè)差值超過(guò)某個(gè)設(shè)置的時(shí)間(假如5分鐘)兵怯，那么這個(gè)請(qǐng)求將被攔截掉，如果在設(shè)置的超時(shí)時(shí)間范圍內(nèi)腔剂，是不能阻止DoS攻擊的媒区。 timestamp機(jī)制只能減輕DoS攻擊的時(shí)間，縮短攻擊時(shí)間桶蝎。如果黑客修改了時(shí)間戳的值可通過(guò)sign簽名機(jī)制來(lái)處理驻仅。

三、sign 簡(jiǎn)介

nonce：隨機(jī)值登渣，是客戶端隨機(jī)生成的值噪服，作為參數(shù)傳遞過(guò)來(lái)，隨機(jī)值的目的是增加sign簽名的多變性胜茧。隨機(jī)值一般是數(shù)字和字母的組合粘优，6位長(zhǎng)度仇味，隨機(jī)值的組成和長(zhǎng)度沒(méi)有固定規(guī)則。

sign: 一般用于參數(shù)簽名雹顺，防止參數(shù)被非法篡改丹墨，最常見的是修改金額等重要敏感參數(shù)， sign的值一般是將所有非空參數(shù)按照升續(xù)排序然后+token+key+timestamp+nonce(隨機(jī)數(shù))拼接在一起嬉愧，然后使用某種加密算法進(jìn)行加密贩挣，作為接口中的一個(gè)參數(shù)sign來(lái)傳遞，也可以將sign放到請(qǐng)求頭中没酣。接口在網(wǎng)絡(luò)傳輸過(guò)程中如果被黑客挾持王财，并修改其中的參數(shù)值，然后再繼續(xù)調(diào)用接口裕便，雖然參數(shù)的值被修改了绒净，但是因?yàn)楹诳筒恢纒ign是如何計(jì)算出來(lái)的，不知道sign都有哪些值構(gòu)成偿衰，不知道以怎樣的順序拼接在一起的挂疆，最重要的是不知道簽名字符串中的key是什么，所以黑客可以篡改參數(shù)的值下翎，但沒(méi)法修改sign的值缤言，當(dāng)服務(wù)器調(diào)用接口前會(huì)按照sign的規(guī)則重新計(jì)算出sign的值然后和接口傳遞的sign參數(shù)的值做比較，如果相等表示參數(shù)值沒(méi)有被篡改视事，如果不等墨闲，表示參數(shù)被非法篡改了，就不執(zhí)行接口了郑口。

四、防止重復(fù)提交

對(duì)于一些重要的操作需要防止客戶端重復(fù)提交的(如非冪等性重要操作)盾鳞，具體辦法是當(dāng)請(qǐng)求第一次提交時(shí)將sign作為key保存到redis犬性，并設(shè)置超時(shí)時(shí)間，超時(shí)時(shí)間和Timestamp中設(shè)置的差值相同腾仅。當(dāng)同一個(gè)請(qǐng)求第二次訪問(wèn)時(shí)會(huì)先檢測(cè)redis是否存在該sign乒裆，如果存在則證明重復(fù)提交了，接口就不再繼續(xù)調(diào)用了推励。如果sign在緩存服務(wù)器中因過(guò)期時(shí)間到了鹤耍，而被刪除了，此時(shí)當(dāng)這個(gè)url再次請(qǐng)求服務(wù)器時(shí)验辞，因token的過(guò)期時(shí)間和sign的過(guò)期時(shí)間一直稿黄，sign過(guò)期也意味著token過(guò)期，那樣同樣的url再訪問(wèn)服務(wù)器會(huì)因token錯(cuò)誤會(huì)被攔截掉跌造，這就是為什么sign和token的過(guò)期時(shí)間要保持一致的原因杆怕。拒絕重復(fù)調(diào)用機(jī)制確保URL被別人截獲了也無(wú)法使用（如抓取數(shù)據(jù)）族购。

對(duì)于哪些接口需要防止重復(fù)提交可以自定義個(gè)注解來(lái)標(biāo)記。

注意：所有的安全措施都用上的話有時(shí)候難免太過(guò)復(fù)雜陵珍，在實(shí)際項(xiàng)目中需要根據(jù)自身情況作出裁剪寝杖，比如可以只使用簽名機(jī)制就可以保證信息不會(huì)被篡改，或者定向提供服務(wù)的時(shí)候只用Token機(jī)制就可以了互纯。如何裁剪瑟幕，全看項(xiàng)目實(shí)際情況和對(duì)接口安全性的要求。

五留潦、使用流程

1. 接口調(diào)用方(客戶端)向接口提供方(服務(wù)器)申請(qǐng)接口調(diào)用賬號(hào)只盹，申請(qǐng)成功后，接口提供方會(huì)給接口調(diào)用方一個(gè)appId和一個(gè)key參數(shù)
2. 客戶端攜帶參數(shù)appId愤兵、timestamp鹿霸、sign去調(diào)用服務(wù)器端的API token，其中sign=加密(appId + timestamp + key)
3. 客戶端拿著api_token 去訪問(wèn)不需要登錄就能訪問(wèn)的接口
4. 當(dāng)訪問(wèn)用戶需要登錄的接口時(shí)秆乳，客戶端跳轉(zhuǎn)到登錄頁(yè)面懦鼠，通過(guò)用戶名和密碼調(diào)用登錄接口，登錄接口會(huì)返回一個(gè)usertoken, 客戶端拿著usertoken 去訪問(wèn)需要登錄才能訪問(wèn)的接口

sign的作用是防止參數(shù)被篡改屹堰，客戶端調(diào)用服務(wù)端時(shí)需要傳遞sign參數(shù)肛冶，服務(wù)器響應(yīng)客戶端時(shí)也可以返回一個(gè)sign用于客戶度校驗(yàn)返回的值是否被非法篡改了〕都客戶端傳的sign和服務(wù)器端響應(yīng)的sign算法可能會(huì)不同睦袖。

六、demo

6.1 依賴

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-data-redis</artifactId>
</dependency>
<dependency>
    <groupId>redis.clients</groupId>
    <artifactId>jedis</artifactId>
    <version>2.9.0</version>
</dependency>

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
</dependency>

6.2 配置

@Configuration
public class RedisConfiguration {
    @Bean
    public JedisConnectionFactory jedisConnectionFactory(){
        return new JedisConnectionFactory();
    }

    /**
     * 支持存儲(chǔ)對(duì)象
     * @return
     */
    @Bean
    public RedisTemplate<String, String> redisTemplate(){
        RedisTemplate<String, String> redisTemplate = new StringRedisTemplate();
        redisTemplate.setConnectionFactory(jedisConnectionFactory());
        Jackson2JsonRedisSerializer jackson2JsonRedisSerializer = new Jackson2JsonRedisSerializer(Object.class);
        ObjectMapper objectMapper = new ObjectMapper();
        objectMapper.setVisibility(PropertyAccessor.ALL, JsonAutoDetect.Visibility.ANY);
        objectMapper.enableDefaultTyping(ObjectMapper.DefaultTyping.NON_FINAL);

        jackson2JsonRedisSerializer.setObjectMapper(objectMapper);
        redisTemplate.setValueSerializer(jackson2JsonRedisSerializer);
        redisTemplate.afterPropertiesSet();

        return redisTemplate;
    }
}

6.3 controller

@Slf4j
@RestController
@RequestMapping("/api/token")
public class TokenController {

    @Autowired
    private RedisTemplate redisTemplate;

    /**
     * API Token
     *
     * @param sign
     * @return
     */
    @PostMapping("/api_token")
    public ApiResponse<AccessToken> apiToken(String appId, @RequestHeader("timestamp") String timestamp, @RequestHeader("sign") String sign) {
        Assert.isTrue(!StringUtils.isEmpty(appId) && !StringUtils.isEmpty(timestamp) && !StringUtils.isEmpty(sign), "參數(shù)錯(cuò)誤");

        long reqeustInterval = System.currentTimeMillis() - Long.valueOf(timestamp);
        Assert.isTrue(reqeustInterval < 5 * 60 * 1000, "請(qǐng)求過(guò)期荣刑，請(qǐng)重新請(qǐng)求");

        // 1. 根據(jù)appId查詢數(shù)據(jù)庫(kù)獲取appSecret
        AppInfo appInfo = new AppInfo("1", "12345678954556");

        // 2. 校驗(yàn)簽名
        String signString = timestamp + appId + appInfo.getKey();
        String signature = MD5Util.encode(signString);
        log.info(signature);
        Assert.isTrue(signature.equals(sign), "簽名錯(cuò)誤");

        // 3. 如果正確生成一個(gè)token保存到redis中馅笙，如果錯(cuò)誤返回錯(cuò)誤信息
        AccessToken accessToken = this.saveToken(0, appInfo, null);

        return ApiResponse.success(accessToken);
    }


    @NotRepeatSubmit(5000)
    @PostMapping("user_token")
    public ApiResponse<UserInfo> userToken(String username, String password) {
        // 根據(jù)用戶名查詢密碼, 并比較密碼(密碼可以RSA加密一下)
        UserInfo userInfo = new UserInfo(username, "81255cb0dca1a5f304328a70ac85dcbd", "111111");
        String pwd = password + userInfo.getSalt();
        String passwordMD5 = MD5Util.encode(pwd);
        Assert.isTrue(passwordMD5.equals(userInfo.getPassword()), "密碼錯(cuò)誤");

        // 2. 保存Token
        AppInfo appInfo = new AppInfo("1", "12345678954556");
        AccessToken accessToken = this.saveToken(1, appInfo, userInfo);
        userInfo.setAccessToken(accessToken);
        return ApiResponse.success(userInfo);
    }

    private AccessToken saveToken(int tokenType, AppInfo appInfo,  UserInfo userInfo) {
        String token = UUID.randomUUID().toString();

        // token有效期為2小時(shí)
        Calendar calendar = Calendar.getInstance();
        calendar.setTime(new Date());
        calendar.add(Calendar.SECOND, 7200);
        Date expireTime = calendar.getTime();

        // 4. 保存token
        ValueOperations<String, TokenInfo> operations = redisTemplate.opsForValue();
        TokenInfo tokenInfo = new TokenInfo();
        tokenInfo.setTokenType(tokenType);
        tokenInfo.setAppInfo(appInfo);

        if (tokenType == 1) {
            tokenInfo.setUserInfo(userInfo);
        }

        operations.set(token, tokenInfo, 7200, TimeUnit.SECONDS);

        AccessToken accessToken = new AccessToken(token, expireTime);

        return accessToken;
    }
}

6.4 WebMvcConfiguration

@Configuration
public class WebMvcConfiguration extends WebMvcConfigurationSupport {

    private static final String[] excludePathPatterns  = {"/api/token/api_token"};

    @Autowired
    private TokenInterceptor tokenInterceptor;

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        super.addInterceptors(registry);
        registry.addInterceptor(tokenInterceptor)
                .addPathPatterns("/api/**")
                .excludePathPatterns(excludePathPatterns);
    }
}
5. TokenInterceptor
@Component
public class TokenInterceptor extends HandlerInterceptorAdapter {

    @Autowired
    private RedisTemplate redisTemplate;

    /**
     *
     * @param request
     * @param response
     * @param handler 訪問(wèn)的目標(biāo)方法
     * @return
     * @throws Exception
     */
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        String token = request.getHeader("token");
        String timestamp = request.getHeader("timestamp");
        // 隨機(jī)字符串
        String nonce = request.getHeader("nonce");
        String sign = request.getHeader("sign");
        Assert.isTrue(!StringUtils.isEmpty(token) && !StringUtils.isEmpty(timestamp) && !StringUtils.isEmpty(sign), "參數(shù)錯(cuò)誤");

        // 獲取超時(shí)時(shí)間
        NotRepeatSubmit notRepeatSubmit = ApiUtil.getNotRepeatSubmit(handler);
        long expireTime = notRepeatSubmit == null ? 5 * 60 * 1000 : notRepeatSubmit.value();

        // 2. 請(qǐng)求時(shí)間間隔
        long reqeustInterval = System.currentTimeMillis() - Long.valueOf(timestamp);
        Assert.isTrue(reqeustInterval < expireTime, "請(qǐng)求超時(shí)，請(qǐng)重新請(qǐng)求");

        // 3. 校驗(yàn)Token是否存在
        ValueOperations<String, TokenInfo> tokenRedis = redisTemplate.opsForValue();
        TokenInfo tokenInfo = tokenRedis.get(token);
        Assert.notNull(tokenInfo, "token錯(cuò)誤");

        // 4. 校驗(yàn)簽名(將所有的參數(shù)加進(jìn)來(lái)厉亏，防止別人篡改參數(shù)) 所有參數(shù)看參數(shù)名升續(xù)排序拼接成url
        // 請(qǐng)求參數(shù) + token + timestamp + nonce
        String signString = ApiUtil.concatSignString(request) + tokenInfo.getAppInfo().getKey() + token + timestamp + nonce;
        String signature = MD5Util.encode(signString);
        boolean flag = signature.equals(sign);
        Assert.isTrue(flag, "簽名錯(cuò)誤");

        // 5. 拒絕重復(fù)調(diào)用(第一次訪問(wèn)時(shí)存儲(chǔ)董习，過(guò)期時(shí)間和請(qǐng)求超時(shí)時(shí)間保持一致), 只有標(biāo)注不允許重復(fù)提交注解的才會(huì)校驗(yàn)
        if (notRepeatSubmit != null) {
            ValueOperations<String, Integer> signRedis = redisTemplate.opsForValue();
            boolean exists = redisTemplate.hasKey(sign);
            Assert.isTrue(!exists, "請(qǐng)勿重復(fù)提交");
            signRedis.set(sign, 0, expireTime, TimeUnit.MILLISECONDS);
        }

        return super.preHandle(request, response, handler);
    }
}

6.6 MD5 加密工具類

public class MD5Util {

    private static final String hexDigits[] = { "0", "1", "2", "3", "4", "5",
            "6", "7", "8", "9", "a", "b", "c", "d", "e", "f" };

    private static String byteArrayToHexString(byte b[]) {
        StringBuffer resultSb = new StringBuffer();
        for (int i = 0; i < b.length; i++)
            resultSb.append(byteToHexString(b[i]));

        return resultSb.toString();
    }

    private static String byteToHexString(byte b) {
        int n = b;
        if (n < 0)
            n += 256;
        int d1 = n / 16;
        int d2 = n % 16;
        return hexDigits[d1] + hexDigits[d2];
    }

    public static String encode(String origin) {
        return encode(origin, "UTF-8");
    }
    public static String encode(String origin, String charsetname) {
        String resultString = null;
        try {
            resultString = new String(origin);
            MessageDigest md = MessageDigest.getInstance("MD5");
            if (charsetname == null || "".equals(charsetname))
                resultString = byteArrayToHexString(md.digest(resultString
                        .getBytes()));
            else
                resultString = byteArrayToHexString(md.digest(resultString
                        .getBytes(charsetname)));
        } catch (Exception exception) {
        }
        return resultString;
    }
}

6.7 重復(fù)提交控制注解

/**
 * 禁止重復(fù)提交
 */
@Target(ElementType.METHOD)
@Retention(RetentionPolicy.RUNTIME)
public @interface NotRepeatSubmit {
    /** 過(guò)期時(shí)間，單位毫秒 **/
    long value() default 5000;
}

6.8 AccessToken

@Data
@AllArgsConstructor
public class AccessToken {
    /** token */
    private String token;

    /** 失效時(shí)間 */
    private Date expireTime;
}

6.9 AppInfo

@Data
@NoArgsConstructor
@AllArgsConstructor
public class AppInfo {
    /** App id */
    private String appId;
    /** API 秘鑰 */
    private String key;
}

6.10 TokenInfo

@Data
public class TokenInfo {
    /** token類型: api:0 爱只、user:1 */
    private Integer tokenType;

    /** App 信息 */
    private AppInfo appInfo;

    /** 用戶其他數(shù)據(jù) */
    private UserInfo userInfo;
}

6.11 UserInfo

@Data
public class UserInfo {
    /** 用戶名 */
    private String username;
    /** 手機(jī)號(hào) */
    private String mobile;
    /** 郵箱 */
    private String email;
    /** 密碼 */
    private String password;
    /** 鹽 */
    private String salt;

    private AccessToken accessToken;

    public UserInfo(String username, String password, String salt) {
        this.username = username;
        this.password = password;
        this.salt = salt;
    }
}

6.12 ApiCodeEnum

/**
 * 錯(cuò)誤碼code可以使用純數(shù)字,使用不同區(qū)間標(biāo)識(shí)一類錯(cuò)誤皿淋，也可以使用純字符，也可以使用前綴+編號(hào)
 *
 * 錯(cuò)誤碼：ERR + 編號(hào)
 *
 * 可以使用日志級(jí)別的前綴作為錯(cuò)誤類型區(qū)分 Info(I) Error(E) Warning(W)
 *
 * 或者以業(yè)務(wù)模塊 + 錯(cuò)誤號(hào)
 *
 * TODO 錯(cuò)誤碼設(shè)計(jì)
 *
 * Alipay 用了兩個(gè)code恬试，兩個(gè)msg(https://docs.open.alipay.com/api_1/alipay.trade.pay)
 */
public enum ApiCodeEnum {
    SUCCESS("10000", "success"),
    UNKNOW_ERROR("ERR0001","未知錯(cuò)誤"),
    PARAMETER_ERROR("ERR0002","參數(shù)錯(cuò)誤"),
    TOKEN_EXPIRE("ERR0003","認(rèn)證過(guò)期"),
    REQUEST_TIMEOUT("ERR0004","請(qǐng)求超時(shí)"),
    SIGN_ERROR("ERR0005","簽名錯(cuò)誤"),
    REPEAT_SUBMIT("ERR0006","請(qǐng)不要頻繁操作"),
    ;

    /** 代碼 */
    private String code;

    /** 結(jié)果 */
    private String msg;

    ApiCodeEnum(String code, String msg) {
        this.code = code;
        this.msg = msg;
    }

    public String getCode() {
        return code;
    }

    public String getMsg() {
        return msg;
    }
}

6.13 ApiResult

@Data
@NoArgsConstructor
@AllArgsConstructor
public class ApiResult {

    /** 代碼 */
    private String code;

    /** 結(jié)果 */
    private String msg;
}

6.14 ApiUtil

public class ApiUtil {

    /**
     * 按參數(shù)名升續(xù)拼接參數(shù)
     * @param request
     * @return
     */
    public static String concatSignString(HttpServletRequest request) {
        Map<String, String> paramterMap = new HashMap<>();
        request.getParameterMap().forEach((key, value) -> paramterMap.put(key, value[0]));
        // 按照key升續(xù)排序窝趣，然后拼接參數(shù)
        Set<String> keySet = paramterMap.keySet();
        String[] keyArray = keySet.toArray(new String[keySet.size()]);
        Arrays.sort(keyArray);
        StringBuilder sb = new StringBuilder();
        for (String k : keyArray) {
            // 或略掉的字段
            if (k.equals("sign")) {
                continue;
            }
            if (paramterMap.get(k).trim().length() > 0) {
                // 參數(shù)值為空，則不參與簽名
                sb.append(k).append("=").append(paramterMap.get(k).trim()).append("&");
            }
        }

        return sb.toString();
    }

    public static String concatSignString(Map<String, String> map) {
        Map<String, String> paramterMap = new HashMap<>();
        map.forEach((key, value) -> paramterMap.put(key, value));
        // 按照key升續(xù)排序训柴，然后拼接參數(shù)
        Set<String> keySet = paramterMap.keySet();
        String[] keyArray = keySet.toArray(new String[keySet.size()]);
        Arrays.sort(keyArray);
        StringBuilder sb = new StringBuilder();
        for (String k : keyArray) {
            if (paramterMap.get(k).trim().length() > 0) {
                // 參數(shù)值為空哑舒，則不參與簽名
                sb.append(k).append("=").append(paramterMap.get(k).trim()).append("&");
            }
        }
        return sb.toString();
    }

    /**
     * 獲取方法上的@NotRepeatSubmit注解
     * @param handler
     * @return
     */
    public static NotRepeatSubmit getNotRepeatSubmit(Object handler) {
        if (handler instanceof HandlerMethod) {
            HandlerMethod handlerMethod = (HandlerMethod) handler;
            Method method = handlerMethod.getMethod();
            NotRepeatSubmit annotation = method.getAnnotation(NotRepeatSubmit.class);

            return annotation;
        }

        return null;
    }
}

6.15 ApiResponse

@Data
@Slf4j
public class ApiResponse<T> {
    /** 結(jié)果 */
    private ApiResult result;

    /** 數(shù)據(jù) */
    private T data;

    /** 簽名 */
    private String sign;


    public static <T> ApiResponse success(T data) {
        return response(ApiCodeEnum.SUCCESS.getCode(), ApiCodeEnum.SUCCESS.getMsg(), data);
    }

    public static ApiResponse error(String code, String msg) {
        return response(code, msg, null);
    }

    public static <T> ApiResponse response(String code, String msg, T data) {
        ApiResult result = new ApiResult(code, msg);
        ApiResponse response = new ApiResponse();
        response.setResult(result);
        response.setData(data);

        String sign = signData(data);
        response.setSign(sign);

        return response;
    }

    private static <T> String signData(T data) {
        // TODO 查詢key
        String key = "12345678954556";
        Map<String, String> responseMap = null;
        try {
            responseMap = getFields(data);
        } catch (IllegalAccessException e) {
            return null;
        }
        String urlComponent = ApiUtil.concatSignString(responseMap);
        String signature = urlComponent + "key=" + key;
        String sign = MD5Util.encode(signature);

        return sign;
    }

    /**
     * @param data 反射的對(duì)象,獲取對(duì)象的字段名和值
     * @throws IllegalArgumentException
     * @throws IllegalAccessException
     */
    public static Map<String, String> getFields(Object data) throws IllegalAccessException, IllegalArgumentException {
        if (data == null) return null;
        Map<String, String> map = new HashMap<>();
        Field[] fields = data.getClass().getDeclaredFields();
        for (int i = 0; i < fields.length; i++) {
            Field field = fields[i];
            field.setAccessible(true);

            String name = field.getName();
            Object value = field.get(data);
            if (field.get(data) != null) {
                map.put(name, value.toString());
            }
        }

        return map;
    }
}

參考鏈接

Java生鮮電商平臺(tái)-API接口設(shè)計(jì)之token、timestamp畦粮、sign 具體架構(gòu)與實(shí)現(xiàn)（APP/小程序散址，傳輸安全）