高并發(fā)下的接口安全設(shè)計(jì)

之前寫過接口冪等性問題寄啼，高并發(fā)下的接口冪等性如何實(shí)現(xiàn)哼拔，今天再研究一下接口的安全性問題。

當(dāng)我們在跟第三方系統(tǒng)進(jìn)行對接蠢挡，或者跟公司內(nèi)部別的項(xiàng)目服務(wù)對接時(shí)，經(jīng)常需要考慮數(shù)據(jù)在傳輸過程中的安全凳忙，防止被竊取业踏。

1、權(quán)限問題

為了安全涧卵，通常我們只有第一次登陸(校驗(yàn)權(quán)限)的時(shí)候勤家，才會傳輸用戶名和密碼，校驗(yàn)成功后柳恐，后續(xù)的訪問我們是通過token來識別的伐脖。

Token：訪問令牌access token, 用于接口中, 用于標(biāo)識接口調(diào)用者的身份、憑證乐设，減少用戶名和密碼的傳輸次數(shù)讼庇。
一般情況下客戶端(接口調(diào)用方)需要先向服務(wù)器端申請一個(gè)接口調(diào)用的賬號（服務(wù)對接的時(shí)候），服務(wù)器會給出一個(gè)appId和一個(gè)key, key用于參數(shù)簽名使用近尚，注意key保存到客戶端蠕啄，需要做一些安全處理，防止泄露肿男。

Token的值一般是UUID介汹，服務(wù)端生成Token后需要將token做為key，將一些和token關(guān)聯(lián)的信息作為value保存到緩存服務(wù)器中(redis)舶沛，當(dāng)一個(gè)請求過來后嘹承，服務(wù)器就去緩存服務(wù)器中查詢這個(gè)Token是否存在，存在則調(diào)用接口如庭，不存在返回接口錯(cuò)誤叹卷，一般通過攔截器或者過濾器來實(shí)現(xiàn)，Token分為兩種：

  • API Token(接口令牌): 用于訪問不需要用戶登錄的接口坪它，如登錄骤竹、注冊、一些基本數(shù)據(jù)的獲取等往毡。獲取接口令牌需要拿appId蒙揣、timestamp和sign來換，sign=加密(timestamp+key)

  • USER Token(用戶令牌): 用于訪問需要用戶登錄之后的接口开瞭，如：獲取我的基本信息懒震、保存罩息、修改、刪除等操作个扰。獲取用戶令牌需要拿用戶名和密碼來換

關(guān)于Token的時(shí)效性：token可以是一次性的瓷炮、也可以在一段時(shí)間范圍內(nèi)是有效的，具體使用哪種看業(yè)務(wù)需要递宅。

一般情況下接口最好使用https協(xié)議娘香，如果使用http協(xié)議，Token機(jī)制只是一種減少被黑的可能性办龄，其實(shí)只能防君子不能防小人烘绽。

一般token、timestamp和sign 三個(gè)參數(shù)會在接口中會同時(shí)作為參數(shù)傳遞俐填，每個(gè)參數(shù)都有各自的用途诀姚。

2、Dos攻擊

Dos簡介

DoS是Denial of Service的簡稱玷禽，即拒絕服務(wù)赫段，造成DoS的攻擊行為被稱為DoS攻擊，其目的是使計(jì)算機(jī)或網(wǎng)絡(luò)無法提供正常的服務(wù)矢赁。最常見的DoS攻擊有計(jì)算機(jī)網(wǎng)絡(luò)帶寬攻擊和連通性攻擊糯笙。

DoS攻擊是指故意的攻擊網(wǎng)絡(luò)協(xié)議實(shí)現(xiàn)的缺陷或直接通過野蠻手段殘忍地耗盡被攻擊對象的資源，目的是讓目標(biāo)計(jì)算機(jī)或網(wǎng)絡(luò)無法提供正常的服務(wù)或資源訪問撩银，使目標(biāo)系統(tǒng)服務(wù)系統(tǒng)停止響應(yīng)甚至崩潰给涕，而在此攻擊中并不包括侵入目標(biāo)服務(wù)器或目標(biāo)網(wǎng)絡(luò)設(shè)備。這些服務(wù)資源包括網(wǎng)絡(luò)帶寬额获，文件系統(tǒng)空間容量够庙，開放的進(jìn)程或者允許的連接。這種攻擊會導(dǎo)致資源的匱乏抄邀，無論計(jì)算機(jī)的處理速度多快耘眨、內(nèi)存容量多大、網(wǎng)絡(luò)帶寬的速度多快都無法避免這種攻擊帶來的后果境肾。

解決方法

timestamp: 時(shí)間戳剔难，是客戶端調(diào)用接口時(shí)對應(yīng)的當(dāng)前時(shí)間戳，時(shí)間戳用于防止DoS攻擊奥喻。

當(dāng)黑客劫持了請求的url去DoS攻擊偶宫，每次調(diào)用接口時(shí)接口都會判斷服務(wù)器當(dāng)前系統(tǒng)時(shí)間和接口中傳的的timestamp的差值，如果這個(gè)差值超過某個(gè)設(shè)置的時(shí)間(假如5分鐘)环鲤，那么這個(gè)請求將被攔截掉纯趋，如果在設(shè)置的超時(shí)時(shí)間范圍內(nèi)，是不能阻止DoS攻擊的。timestamp機(jī)制只能減輕DoS攻擊的時(shí)間吵冒，縮短攻擊時(shí)間唇兑。如果黑客修改了時(shí)間戳的值可通過sign簽名機(jī)制來處理

3、敏感參數(shù)篡改

接口參數(shù)中經(jīng)常會有一些敏感參數(shù)桦锄，如用戶名，用戶手機(jī)號蔫耽，我們需要保證這些信息不會被惡意篡改结耀。

sign：一般用于參數(shù)簽名，防止參數(shù)被非法篡改匙铡，最常見的是修改金額等重要敏感參數(shù)图甜， sign的值一般是將所有非空參數(shù)按照升續(xù)排序然后+token+key+timestamp+nonce(隨機(jī)數(shù))拼接在一起，然后使用某種加密算法進(jìn)行加密鳖眼，作為接口中的一個(gè)參數(shù)sign來傳遞黑毅，也可以將sign放到請求頭中。

如果接口在網(wǎng)絡(luò)傳輸過程中如果被黑客挾持钦讳，并修改其中的參數(shù)值矿瘦，然后再繼續(xù)調(diào)用接口，雖然參數(shù)的值被修改了愿卒，但是因?yàn)楹诳筒恢纒ign是如何計(jì)算出來的缚去，不知道sign都有哪些值構(gòu)成，不知道以怎樣的順序拼接在一起的琼开，最重要的是不知道簽名字符串中的key是什么易结，所以黑客可以篡改參數(shù)的值，但沒法修改sign的值柜候，當(dāng)服務(wù)器調(diào)用接口前會按照sign的規(guī)則重新計(jì)算出sign的值然后和接口傳遞的sign參數(shù)的值做比較搞动，如果相等表示參數(shù)值沒有被篡改，如果不等渣刷，表示參數(shù)被非法篡改了鹦肿，就不執(zhí)行接口了。

注：
nonce：隨機(jī)值辅柴，是客戶端隨機(jī)生成的值狮惜，作為參數(shù)傳遞過來，隨機(jī)值的目的是增加sign簽名的多變性碌识。隨機(jī)值一般是數(shù)字和字母的組合碾篡，6位長度，隨機(jī)值的組成和長度沒有固定規(guī)則筏餐。

4开泽、防止重復(fù)提交

對于一些重要的操作需要防止客戶端重復(fù)提交的(如非冪等操作)，具體辦法是當(dāng)請求第一次提交時(shí)將sign作為key保存到redis魁瞪，并設(shè)置超時(shí)時(shí)間穆律，超時(shí)時(shí)間和Timestamp中設(shè)置的差值相同惠呼。

當(dāng)同一個(gè)請求第二次訪問時(shí)會先檢測redis是否存在該sign，如果存在則證明重復(fù)提交了峦耘，接口就不再繼續(xù)調(diào)用了剔蹋。如果sign在緩存服務(wù)器中因過期時(shí)間到了，而被刪除了辅髓，此時(shí)當(dāng)這個(gè)url再次請求服務(wù)器時(shí)泣崩，因token的過期時(shí)間和sign的過期時(shí)間一致，sign過期也意味著token過期洛口，那樣同樣的url再訪問服務(wù)器會因token錯(cuò)誤會被攔截掉矫付，這就是為什么sign和token的過期時(shí)間要保持一致的原因。拒絕重復(fù)調(diào)用機(jī)制確保URL被別人截獲了也無法使用（如抓取數(shù)據(jù)）第焰。

對于哪些接口需要防止重復(fù)提交可以自定義個(gè)注解來標(biāo)記买优。

防止重復(fù)提交的方案可以看這里高并發(fā)下的接口冪等性如何實(shí)現(xiàn)

5、總結(jié)以及使用流程

所有的安全措施都用上的話有時(shí)候難免太過復(fù)雜挺举，在實(shí)際項(xiàng)目中需要根據(jù)自身情況作出裁剪杀赢，比如可以只使用簽名機(jī)制就可以保證信息不會被篡改，或者定向提供服務(wù)的時(shí)候只用Token機(jī)制就可以了湘纵。如何裁剪葵陵，全看項(xiàng)目實(shí)際情況和對接口安全性的要求。

  • 1.接口調(diào)用方(客戶端)向接口提供方(服務(wù)器)申請接口調(diào)用賬號瞻佛，申請成功后脱篙，接口提供方會給接口調(diào)用方一個(gè)appId和一個(gè)key參數(shù)

  • 2.客戶端攜帶參數(shù)appId、timestamp伤柄、sign去調(diào)用服務(wù)器端的API token绊困，其中sign=加密(appId + timestamp + key)

  • 3.客戶端拿著api_token 去訪問不需要登錄就能訪問的接口

  • 4.當(dāng)訪問用戶需要登錄的接口時(shí)，客戶端跳轉(zhuǎn)到登錄頁面适刀，通過用戶名和密碼調(diào)用登錄接口秤朗，登錄接口會返回一個(gè)usertoken, 客戶端拿著usertoken 去訪問需要登錄才能訪問的接口

sign的作用是防止參數(shù)被篡改，客戶端調(diào)用服務(wù)端時(shí)需要傳遞sign參數(shù)笔喉，服務(wù)器響應(yīng)客戶端時(shí)也可以返回一個(gè)sign用于客戶度校驗(yàn)返回的值是否被非法篡改了取视。客戶端傳的sign和服務(wù)器端響應(yīng)的sign算法可能會不同常挚。

6作谭、示例代碼

6.1 TokenController

@Slf4j
@RestController
@RequestMapping("/api/token")public class TokenController {

    @Autowired    private RedisTemplate redisTemplate;

 @PostMapping("/api_token")    
public ApiResponse<AccessToken> apiToken(String appId, @RequestHeader("timestamp") String timestamp, @RequestHeader("sign") String sign) {        

        Assert.isTrue(!StringUtils.isEmpty(appId) && !StringUtils.isEmpty(timestamp) && !StringUtils.isEmpty(sign), "參數(shù)錯(cuò)誤");

        long reqeustInterval = System.currentTimeMillis() - Long.valueOf(timestamp); 
        Assert.isTrue(reqeustInterval < 5 * 60 * 1000, "請求過期，請重新請求");

        // 1. 根據(jù)appId查詢數(shù)據(jù)庫獲取appSecret       
         AppInfo appInfo = new AppInfo("1", "12345678954556");

        // 2. 校驗(yàn)簽名        
        String signString = timestamp + appId + appInfo.getKey();        
        String signature = MD5Util.encode(signString);        
        log.info(signature);        
        Assert.isTrue(signature.equals(sign), "簽名錯(cuò)誤");

        // 3. 如果正確生成一個(gè)token保存到redis中奄毡，如果錯(cuò)誤返回錯(cuò)誤信息        
        AccessToken accessToken = this.saveToken(0, appInfo, null);

        return ApiResponse.success(accessToken);   
 }



    @NotRepeatSubmit(5000)    
@PostMapping("user_token")    
public ApiResponse<UserInfo> userToken(String username, String password) {        
        // 根據(jù)用戶名查詢密碼, 并比較密碼(密碼可以RSA加密一下)        
        UserInfo userInfo = new UserInfo(username, "81255cb0dca1a5f304328a70ac85dcbd", "111111");        
        String pwd = password + userInfo.getSalt();        
        String passwordMD5 = MD5Util.encode(pwd);       

        Assert.isTrue(passwordMD5.equals(userInfo.getPassword()), "密碼錯(cuò)誤");

        // 2. 保存Token        
        AppInfo appInfo = new AppInfo("1", "12345678954556");        
        AccessToken accessToken = this.saveToken(1, appInfo, userInfo);                        

        userInfo.setAccessToken(accessToken);        
        return ApiResponse.success(userInfo);    
}

    private AccessToken saveToken(int tokenType, AppInfo appInfo,  UserInfo userInfo) {        
        String token = UUID.randomUUID().toString();

        // token有效期為2小時(shí)        
        Calendar calendar = Calendar.getInstance();        
        calendar.setTime(new Date());        
        calendar.add(Calendar.SECOND, 7200);        
        Date expireTime = calendar.getTime();

        // 4. 保存token        
        ValueOperations<String, TokenInfo> operations = redisTemplate.opsForValue();        
        TokenInfo tokenInfo = new TokenInfo();        
        tokenInfo.setTokenType(tokenType);        
        tokenInfo.setAppInfo(appInfo);

        if (tokenType == 1) {            
                tokenInfo.setUserInfo(userInfo);        
        }

        operations.set(token, tokenInfo, 7200, TimeUnit.SECONDS);

        AccessToken accessToken = new AccessToken(token, expireTime);

        return accessToken;    
}

    public static void main(String[] args) {        
        long timestamp = System.currentTimeMillis();        
        System.out.println(timestamp);        
        String signString = timestamp + "1" + "12345678954556";        
        String sign = MD5Util.encode(signString);        
        System.out.println(sign);

        System.out.println("-------------------");        
        signString = "password=123456&username=1&12345678954556" + "ff03e64b-427b-45a7-b78b-47d9e8597d3b1529815393153sdfsdfsfs" + timestamp + "A1scr6";        
        sign = MD5Util.encode(signString);        
        System.out.println(sign);    
}}

6.2 TokenInterceptor攔截器

@Configurationpublic class WebMvcConfiguration extends WebMvcConfigurationSupport {

    private static final String[] excludePathPatterns  = {"/api/token/api_token"};

    @Autowired
    private TokenInterceptor tokenInterceptor;

    @Override
    public void addInterceptors(InterceptorRegistry registry) {        
       super.addInterceptors(registry); 
       registry.addInterceptor(tokenInterceptor)
                .addPathPatterns("/api/**")
                .excludePathPatterns(excludePathPatterns);
    }}



@Component
public class TokenInterceptor extends HandlerInterceptorAdapter {

    @Autowired
    private RedisTemplate redisTemplate;

    /**
    * @param request
     * @param response 
     * @param handler 訪問的目標(biāo)方法
     * @return
     * @throws Exception
     */    
@Override    
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        String token = request.getHeader("token");
        String timestamp = request.getHeader("timestamp"); 
       // 隨機(jī)字符串
        String nonce = request.getHeader("nonce");
        String sign = request.getHeader("sign"); 
       Assert.isTrue(!StringUtils.isEmpty(token) && !StringUtils.isEmpty(timestamp) && !StringUtils.isEmpty(sign), "參數(shù)錯(cuò)誤");

        // 獲取超時(shí)時(shí)間
        NotRepeatSubmit notRepeatSubmit = ApiUtil.getNotRepeatSubmit(handler);
        long expireTime = notRepeatSubmit == null ? 5 * 60 * 1000 : notRepeatSubmit.value();

        // 2. 請求時(shí)間間隔 
       long reqeustInterval = System.currentTimeMillis() - Long.valueOf(timestamp);        Assert.isTrue(reqeustInterval < expireTime, "請求超時(shí)折欠，請重新請求");

        // 3. 校驗(yàn)Token是否存在
        ValueOperations<String, TokenInfo> tokenRedis = redisTemplate.opsForValue();
        TokenInfo tokenInfo = tokenRedis.get(token); 
       Assert.notNull(tokenInfo, "token錯(cuò)誤");

        // 4. 校驗(yàn)簽名(將所有的參數(shù)加進(jìn)來，防止別人篡改參數(shù)) 所有參數(shù)看參數(shù)名升續(xù)排序拼接成url
        // 請求參數(shù) + token + timestamp + nonce
        String signString = ApiUtil.concatSignString(request) + tokenInfo.getAppInfo().getKey() + token + timestamp + nonce;
        String signature = MD5Util.encode(signString);
        boolean flag = signature.equals(sign); 
       Assert.isTrue(flag, "簽名錯(cuò)誤");

        // 5. 拒絕重復(fù)調(diào)用(第一次訪問時(shí)存儲，過期時(shí)間和請求超時(shí)時(shí)間保持一致), 只有標(biāo)注不允許重復(fù)提交注解的才會校驗(yàn)
        if (notRepeatSubmit != null) { 
           ValueOperations<String, Integer> signRedis = redisTemplate.opsForValue();
            boolean exists = redisTemplate.hasKey(sign);
            Assert.isTrue(!exists, "請勿重復(fù)提交"); 
           signRedis.set(sign, 0, expireTime, TimeUnit.MILLISECONDS); 
       }

        return super.preHandle(request, response, handler);   
 }
}

6.3 MD5Util ----MD5工具類锐秦，加密生成數(shù)字簽名

如果為了保證更加的安全咪奖，可以加上RSA,RSA2，AES等等加密方式酱床，保證了數(shù)據(jù)的更加的安全羊赵，但是唯一的缺點(diǎn)是加密與解密比較耗費(fèi)CPU的資源。

public class MD5Util {

    private static final String hexDigits[] = { "0", "1", "2", "3", "4", "5",
            "6", "7", "8", "9", "a", "b", "c", "d", "e", "f" };

    private static String byteArrayToHexString(byte b[]) { 
       StringBuffer resultSb = new StringBuffer();
        for (int i = 0; i < b.length; i++)
            resultSb.append(byteToHexString(b[i]));

        return resultSb.toString();
    }

    private static String byteToHexString(byte b) { 
       int n = b;
        if (n < 0)
            n += 256; 
       int d1 = n / 16; 
       int d2 = n % 16; 
       return hexDigits[d1] + hexDigits[d2];  
  }

    public static String encode(String origin) {  
      return encode(origin, "UTF-8");
   }    

public static String encode(String origin, String charsetname) { 
       String resultString = null; 
       try { 
           resultString = new String(origin);  
          MessageDigest md = MessageDigest.getInstance("MD5"); 
           if (charsetname == null || "".equals(charsetname))
                resultString = byteArrayToHexString(md.digest(resultString.getBytes()));
            else
                resultString = byteArrayToHexString(md.digest(resultString.getBytes(charsetname)));
        } catch (Exception exception) {

        }
        return resultString;    }}

6.4 @NotRepeatSubmit -----自定義注解扇谣，防止重復(fù)提交昧捷。

/** * 禁止重復(fù)提交 */
@Target(ElementType.METHOD)
@Retention(RetentionPolicy.RUNTIME)
public @interface NotRepeatSubmit {
    /** 過期時(shí)間，單位毫秒 **/
    long value() default 5000;
}

6.5 AccessToken AppInfo TokenInfo

@Data
@AllArgsConstructor
public class AccessToken {
    /** token */
    private String token;

    /** 失效時(shí)間 */ 
   private Date expireTime;
}


@Data
@NoArgsConstructor
@AllArgsConstructor
public class AppInfo { 
   /** App id */ 
   private String appId;
    /** API 秘鑰 */
    private String key;
}


@Data
public class TokenInfo {
    /** token類型: api:0 揍堕、user:1 */
    private Integer tokenType;

    /** App 信息 */
    private AppInfo appInfo;

    /** 用戶其他數(shù)據(jù) */
    private UserInfo userInfo;
}

6.6 UserInfo

@Data
public class UserInfo {
    /** 用戶名 */
    private String username;
    /** 手機(jī)號 */
    private String mobile;
    /** 郵箱 */
    private String email;
    /** 密碼 */
    private String password;
    /** 鹽 */
    private String salt;

    private AccessToken accessToken;

    public UserInfo(String username, String password, String salt) {
        this.username = username; 
       this.password = password;
        this.salt = salt;
    }
}

6.7 ApiCodeEnum

/**
 * 錯(cuò)誤碼code可以使用純數(shù)字,使用不同區(qū)間標(biāo)識一類錯(cuò)誤，也可以使用純字符汤纸，也可以使用前綴+編號
 *
 * 錯(cuò)誤碼：ERR + 編號
 *
 * 可以使用日志級別的前綴作為錯(cuò)誤類型區(qū)分 Info(I) Error(E) Warning(W)
 *
 * 或者以業(yè)務(wù)模塊 + 錯(cuò)誤號
 *
 * TODO 錯(cuò)誤碼設(shè)計(jì)
 *
 * Alipay 用了兩個(gè)code衩茸，兩個(gè)msg(https://docs.open.alipay.com/api_1/alipay.trade.pay) */
public enum ApiCodeEnum {
    SUCCESS("10000", "success"),
    UNKNOW_ERROR("ERR0001","未知錯(cuò)誤"), 
   PARAMETER_ERROR("ERR0002","參數(shù)錯(cuò)誤"),
    TOKEN_EXPIRE("ERR0003","認(rèn)證過期"), 
   REQUEST_TIMEOUT("ERR0004","請求超時(shí)"),
    SIGN_ERROR("ERR0005","簽名錯(cuò)誤"),
    REPEAT_SUBMIT("ERR0006","請不要頻繁操作"),
    ;

    /** 代碼 */
    private String code;

    /** 結(jié)果 */
    private String msg;

    ApiCodeEnum(String code, String msg) {
        this.code = code;
        this.msg = msg;
    }

    public String getCode() {
        return code;
    }

    public String getMsg() {
        return msg;
    }
}

6.8 ApiUtil

public class ApiUtil {

    /**
     * 按參數(shù)名升續(xù)拼接參數(shù)
     * @param request
     * @return
     */
    public static String concatSignString(HttpServletRequest request) {
        Map<String, String> paramterMap = new HashMap<>();
        request.getParameterMap().forEach((key, value) -> paramterMap.put(key, value[0]));
        // 按照key升續(xù)排序，然后拼接參數(shù)
        Set<String> keySet = paramterMap.keySet();
        String[] keyArray = keySet.toArray(new String[keySet.size()]);
        Arrays.sort(keyArray);
        StringBuilder sb = new StringBuilder();
        for (String k : keyArray) {
            // 或略掉的字段
            if (k.equals("sign")) {
                continue;
            }
            if (paramterMap.get(k).trim().length() > 0) {
                // 參數(shù)值為空贮泞，則不參與簽名
                sb.append(k).append("=").append(paramterMap.get(k).trim()).append("&");
            }
        }

        return sb.toString();    }

    public static String concatSignString(Map<String, String> map) {
        Map<String, String> paramterMap = new HashMap<>();
        map.forEach((key, value) -> paramterMap.put(key, value));
        // 按照key升續(xù)排序楞慈，然后拼接參數(shù)
        Set<String> keySet = paramterMap.keySet();
        String[] keyArray = keySet.toArray(new String[keySet.size()]);
        Arrays.sort(keyArray);
        StringBuilder sb = new StringBuilder();
        for (String k : keyArray) {
            if (paramterMap.get(k).trim().length() > 0) {
                // 參數(shù)值為空，則不參與簽名
                sb.append(k).append("=").append(paramterMap.get(k).trim()).append("&");
            }
        }
        return sb.toString();
    }

    /**
     * 獲取方法上的@NotRepeatSubmit注解
     * @param handler
     * @return
     */
    public static NotRepeatSubmit getNotRepeatSubmit(Object handler) {
        if (handler instanceof HandlerMethod) {
            HandlerMethod handlerMethod = (HandlerMethod) handler;
            Method method = handlerMethod.getMethod();
            NotRepeatSubmit annotation = method.getAnnotation(NotRepeatSubmit.class);

            return annotation;
        }

        return null;
    }
}

6.9 ApiResponse

@Data
@Slf4j
public class ApiResponse<T> {
    /** 結(jié)果 */
    private ApiResult result;

    /** 數(shù)據(jù) */
    private T data;

    /** 簽名 */
    private String sign;



    public static <T> ApiResponse success(T data) {
        return response(ApiCodeEnum.SUCCESS.getCode(), ApiCodeEnum.SUCCESS.getMsg(), data);
    }

    public static ApiResponse error(String code, String msg) {
        return response(code, msg, null);
    }

    public static <T> ApiResponse response(String code, String msg, T data) {
        ApiResult result = new ApiResult(code, msg);
        ApiResponse response = new ApiResponse();
        response.setResult(result);
        response.setData(data);

        String sign = signData(data);
        response.setSign(sign);

        return response;
    }

    private static <T> String signData(T data) {
        // TODO 查詢key
        String key = "12345678954556";
        Map<String, String> responseMap = null;
        try {
            responseMap = getFields(data);
        } catch (IllegalAccessException e) {
            return null;
        }
        String urlComponent = ApiUtil.concatSignString(responseMap);
        String signature = urlComponent + "key=" + key;
        String sign = MD5Util.encode(signature);

        return sign;
    }

    /**
     * @param data 反射的對象,獲取對象的字段名和值
     * @throws IllegalArgumentException
     * @throws IllegalAccessException
     */
    public static Map<String, String> getFields(Object data) throws IllegalAccessException, IllegalArgumentException {
        if (data == null) return null;
        Map<String, String> map = new HashMap<>();
        Field[] fields = data.getClass().getDeclaredFields();
        for (int i = 0; i < fields.length; i++) {
            Field field = fields[i];
            field.setAccessible(true);

            String name = field.getName();
            Object value = field.get(data);
            if (field.get(data) != null) {
                map.put(name, value.toString());
            }
        }

        return map;
    }
}

6.10 ThreadLocalUtil

ThreadLocal是線程內(nèi)的全局上下文啃擦。就是在單個(gè)線程中囊蓝，方法之間共享的內(nèi)存，每個(gè)方法都可以從該上下文中獲取值和修改值令蛉。
更深入的ThreadLocal源碼分析見這篇文章聚霜，寫的相當(dāng)好
https://mp.weixin.qq.com/s?__biz=Mzg5ODA5NDIyNQ==&mid=2247484165&idx=1&sn=59fd0532b8d02fff90dbfe4df6a33476&chksm=c06686fbf7110fedb8e649f048dc28ded33ef835f1c9e6d5e6729bb8d7fc62036ebf158c7a34&mpshare=1&scene=1&srcid=&sharer_sharetime=1589356159946&sharer_shareid=5b956e934bda2061cf14ce29bfd4918e&key=feb1721d8b0e0bd5cec9392dbfd7857193b8b55044f8e5078a7897cdd7d2f6b2a06d92d746bf49db7173b276dd38a7529701b29e201e43b7a2dfb59d6a27914586ea3332f40aa8e3c8769b9da4d868ea&ascene=1&uin=MjQxMzM4NzE0NA%3D%3D&devicetype=Windows+10+x64&version=62090072&lang=zh_CN&exportkey=Ax6KAu3uvJo3P1hv%2B9Ws0%2BE%3D&pass_ticket=ez3o23toQrl7fbc4wKVax3Oa2CslLbBBwGPXey0%2BFjdyMLIUwJUnpJtg4pKzyZQD

public class ThreadLocalUtil<T> {
    private static final ThreadLocal<Map<String, Object>> threadLocal = new ThreadLocal() {
        @Override
        protected Map<String, Object> initialValue() {
            return new HashMap<>(4);
        }
    };



    public static Map<String, Object> getThreadLocal(){
        return threadLocal.get();
    }

    public static <T> T get(String key) {
        Map map = (Map)threadLocal.get();
        return (T)map.get(key); 
   }

    public static <T> T get(String key,T defaultValue) {
        Map map = (Map)threadLocal.get();
        return (T)map.get(key) == null ? defaultValue : (T)map.get(key);
    }

    public static void set(String key, Object value) {
        Map map = (Map)threadLocal.get();
        map.put(key, value);
    }

    public static void set(Map<String, Object> keyValueMap) {
        Map map = (Map)threadLocal.get();
        map.putAll(keyValueMap);
    }

    public static void remove() {
        threadLocal.remove();
    }

    public static <T> Map<String,T> fetchVarsByPrefix(String prefix) {
        Map<String,T> vars = new HashMap<>();
        if( prefix == null ){
            return vars;
        }
        Map map = (Map)threadLocal.get();
        Set<Map.Entry> set = map.entrySet();

        for( Map.Entry entry : set){
            Object key = entry.getKey();
            if( key instanceof String ){
                if( ((String) key).startsWith(prefix) ){
                    vars.put((String)key,(T)entry.getValue());
                }
            }
        }
        return vars;
    }

    public static <T> T remove(String key) {
        Map map = (Map)threadLocal.get();
        return (T)map.remove(key);
    }

    public static void clear(String prefix) {
        if( prefix == null ){
            return;
        }
        Map map = (Map)threadLocal.get();
        Set<Map.Entry> set = map.entrySet();
        List<String> removeKeys = new ArrayList<>();

        for( Map.Entry entry : set ){
            Object key = entry.getKey();
            if( key instanceof String ){
                if( ((String) key).startsWith(prefix) ){
                    removeKeys.add((String)key);
                }
            }
        }
        for( String key : removeKeys ){
            map.remove(key);
        }
    }
}
最后編輯于 ：
?著作權(quán)歸作者所有,轉(zhuǎn)載或內(nèi)容合作請聯(lián)系作者
  • 人面猴
    序言：七十年代末，一起剝皮案震驚了整個(gè)濱河市珠叔，隨后出現(xiàn)的幾起案子蝎宇，更是在濱河造成了極大的恐慌，老刑警劉巖祷安，帶你破解...
    沈念sama閱讀 212,718評論 6贊 492
  • 死咒
    序言：濱河連續(xù)發(fā)生了三起死亡事件姥芥，死亡現(xiàn)場離奇詭異，居然都是意外死亡汇鞭，警方通過查閱死者的電腦和手機(jī)凉唐，發(fā)現(xiàn)死者居然都...
    沈念sama閱讀 90,683評論 3贊 385
  • 救了他兩次的神仙讓他今天三更去死
    文/潘曉璐 我一進(jìn)店門，熙熙樓的掌柜王于貴愁眉苦臉地迎上來霍骄，“玉大人台囱，你說我怎么就攤上這事《琳” “怎么了玄坦？”我有些...
    開封第一講書人閱讀 158,207評論 0贊 348
  • 道士緝兇錄：失蹤的賣姜人
    文/不壞的土叔 我叫張陵，是天一觀的道長。 經(jīng)常有香客問我煎楣，道長豺总，這世上最難降的妖魔是什么？ 我笑而不...
    開封第一講書人閱讀 56,755評論 1贊 284
  • ?港島之戀（遺憾婚禮）
    正文 為了忘掉前任择懂，我火速辦了婚禮喻喳，結(jié)果婚禮上，老公的妹妹穿的比我還像新娘困曙。我一直安慰自己表伦，他們只是感情好，可當(dāng)我...
    茶點(diǎn)故事閱讀 65,862評論 6贊 386
  • 惡毒庶女頂嫁案：這布局不是一般人想出來的
    文/花漫 我一把揭開白布慷丽。 她就那樣靜靜地躺著蹦哼，像睡著了一般。 火紅的嫁衣襯著肌膚如雪要糊。 梳的紋絲不亂的頭發(fā)上纲熏，一...
    開封第一講書人閱讀 50,050評論 1贊 291
  • 城市分裂傳說
    那天，我揣著相機(jī)與錄音锄俄，去河邊找鬼局劲。 笑死，一個(gè)胖子當(dāng)著我的面吹牛奶赠，可吹牛的內(nèi)容都是我干的鱼填。 我是一名探鬼主播，決...
    沈念sama閱讀 39,136評論 3贊 410
  • 雙鴛鴦連環(huán)套：你想象不到人心有多黑
    文/蒼蘭香墨 我猛地睜開眼毅戈，長吁一口氣：“原來是場噩夢啊……” “哼苹丸！你這毒婦竟也來了？” 一聲冷哼從身側(cè)響起苇经，我...
    開封第一講書人閱讀 37,882評論 0贊 268
  • 萬榮殺人案實(shí)錄
    序言：老撾萬榮一對情侶失蹤谈跛，失蹤者是張志新（化名）和其女友劉穎，沒想到半個(gè)月后塑陵，有當(dāng)?shù)厝嗽跇淞掷锇l(fā)現(xiàn)了一具尸體感憾，經(jīng)...
    沈念sama閱讀 44,330評論 1贊 303
  • ?護(hù)林員之死
    正文 獨(dú)居荒郊野嶺守林人離奇死亡，尸身上長有42處帶血的膿包…… 初始之章·張勛 以下內(nèi)容為張勛視角 年9月15日...
    茶點(diǎn)故事閱讀 36,651評論 2贊 327
  • ?白月光啟示錄
    正文 我和宋清朗相戀三年令花，在試婚紗的時(shí)候發(fā)現(xiàn)自己被綠了阻桅。 大學(xué)時(shí)的朋友給我發(fā)了我未婚夫和他白月光在一起吃飯的照片。...
    茶點(diǎn)故事閱讀 38,789評論 1贊 341
  • 活死人
    序言：一個(gè)原本活蹦亂跳的男人離奇死亡兼都，死狀恐怖嫂沉，靈堂內(nèi)的尸體忽然破棺而出，到底是詐尸還是另有隱情扮碧，我是刑警寧澤趟章，帶...
    沈念sama閱讀 34,477評論 4贊 333
  • ?日本核電站爆炸內(nèi)幕
    正文 年R本政府宣布杏糙，位于F島的核電站，受9級特大地震影響蚓土，放射性物質(zhì)發(fā)生泄漏宏侍。R本人自食惡果不足惜，卻給世界環(huán)境...
    茶點(diǎn)故事閱讀 40,135評論 3贊 317
  • 男人毒藥：我在死后第九天來索命
    文/蒙蒙 一蜀漆、第九天 我趴在偏房一處隱蔽的房頂上張望谅河。 院中可真熱鬧，春花似錦确丢、人聲如沸绷耍。這莊子的主人今日做“春日...
    開封第一講書人閱讀 30,864評論 0贊 21
  • 一樁弒父案鲜侥，背后竟有這般陰謀
    文/蒼蘭香墨 我抬頭看了看天上的太陽褂始。三九已至，卻和暖如春描函，著一層夾襖步出監(jiān)牢的瞬間崎苗，已是汗流浹背。 一陣腳步聲響...
    開封第一講書人閱讀 32,099評論 1贊 267
  • 情欲美人皮
    我被黑心中介騙來泰國打工赘阀， 沒想到剛下飛機(jī)就差點(diǎn)兒被人妖公主榨干…… 1. 我叫王不留益缠，地道東北人脑奠。 一個(gè)月前我還...
    沈念sama閱讀 46,598評論 2贊 362
  • 代替公主和親
    正文 我出身青樓基公，卻偏偏與公主長得像，于是被迫代替她去往敵國和親宋欺。 傳聞我的和親對象是個(gè)殘疾皇子轰豆，可洞房花燭夜當(dāng)晚...
    茶點(diǎn)故事閱讀 43,697評論 2贊 351