详解API接口如何安全的传输数据

概述

API接口的安全传输是确保数据在API请求和响应之间的传输过程中不被截获、篡改或泄露的重要步骤。以下是一些用于增强API接口安全传输的常见技术和最佳实践：

  1. 使用HTTPS：使用HTTPS协议而不是HTTP，以确保数据在传输过程中的安全性。HTTPS使用SSL/TLS协议对通信进行加密，防止中间人攻击和数据窃听。

  2. 验证HTTPS请求：验证HTTPS请求的来源，确保请求来自授权的客户端。这可以通过检查SSL证书的颁发机构和有效期来实现。

  3. 验证API密钥：验证API请求中包含的API密钥的合法性。这可以通过检查密钥的唯一标识符、有效性和权限来实现。

  4. 使用JSON Web Tokens (JWT)：JWT是一种开放标准，用于在双方之间安全地传输信息。JWT包含一组声明，由JSON对象表示，并使用数字签名进行验证。它可以用于API身份验证和授权。

  5. 限制API访问频率：限制API请求的频率和并发数，以防止滥用和拒绝服务攻击。这可以通过设置速率限制和并发限制来实现。

  6. 使用消息身份验证码（MAC）：消息身份验证码是一种用于验证消息完整性和认证性的机制。它可以用于防止篡改和重放攻击。

  7. 加密敏感数据：对传输的敏感数据进行加密，例如用户密码和个人信息。这可以通过使用对称加密或公钥加密来实现。

  8. 使用合适的HTTP标头：使用适当的HTTP标头来防止跨站脚本攻击（XSS）和其他安全漏洞。例如，设置"X-XSS-Protection: 1; mode=block"标头来启用浏览器的内置XSS保护机制。

  9. 实施访问控制：根据用户的身份和权限，对API请求进行访问控制。这可以通过使用基于角色的访问控制（RBAC）或基于声明的访问控制（ABAC）来实现。

  10. 定期更新和修补：确保API和相关系统得到及时更新和修补，以修复任何已知的安全漏洞。

在Spring中我们通过继承RequestBodyAdviceAdapter实现对于请求的内容进行解密操作，实现ResponseBodyAdvice来对相应内容进行加密处理。接下来将详细讲解数据加解密的实现过程。

定义加密解密的接口：

public interface SecretProcess {    /**   *  <p>数据加密</p>   *  <p>时间：2020年12月24日-下午12:22:13</p>   * @author xg   * @param data 待加密数据   * @return String 加密结果   */  String encrypt(String data) ;    /**   *  <p>数据解密</p>   *  <p>时间：2020年12月24日-下午12:23:20</p>   * @author xg   * @param data 待解密数据   * @return String 解密后的数据   */  String decrypt(String data) ;    /**   *  <p>加密算法格式：算法[/模式/填充]</p>   *  <p>时间：2020年12月24日-下午12:32:49</p>   * @author xg   * @return String   */  String getAlgorithm() ;    public static class Hex {        private static final char[] HEX = { '0', '1', '2', '3', '4', '5', '6', '7', '8', '9',        'a', 'b', 'c', 'd', 'e', 'f' };        public static byte[] decode(CharSequence s) {      int nChars = s.length();      if (nChars % 2 != 0) {        throw new IllegalArgumentException("16进制数据错误");      }      byte[] result = new byte[nChars / 2];      for (int i = 0; i < nChars; i += 2) {        int msb = Character.digit(s.charAt(i), 16);        int lsb = Character.digit(s.charAt(i + 1), 16);        if (msb < 0 || lsb < 0) {          throw new IllegalArgumentException(            "Detected a Non-hex character at " + (i + 1) + " or " + (i + 2) + " position");        }        result[i / 2] = (byte) ((msb << 4) | lsb);      }      return result;    }        public static String encode(byte[] buf) {      StringBuilder sb = new StringBuilder() ;      for (int i = 0, leng = buf.length; i < leng; i++) {        sb.append(HEX[(buf[i] & 0xF0) >>> 4]).append(HEX[buf[i] & 0x0F]) ;      }      return sb.toString() ;    }      }  }

该接口中定义了两个方法分别是加密与解密的方法，还有Hex类 该类用来对数据处理16进制的转换。

定义一个抽象类实现上面的接口，具体的加解密实现细节在该抽象类中

AbstractSecretProcess

public abstract class AbstractSecretProcess implements SecretProcess {    @Resource  private SecretProperties props ;    @Override  public String decrypt(String data) {    try {      Cipher cipher = Cipher.getInstance(getAlgorithm()) ;      cipher.init(Cipher.DECRYPT_MODE, keySpec()) ;      byte[] decryptBytes = cipher.doFinal(Hex.decode(data)) ;      return new String(decryptBytes) ;    } catch (Exception e) {      throw new RuntimeException(e) ;    }  }    @Override  public String encrypt(String data) {    try {      Cipher cipher = Cipher.getInstance(getAlgorithm()) ;      cipher.init(Cipher.ENCRYPT_MODE, keySpec()) ;      return Hex.encode(cipher.doFinal(data.getBytes(Charset.forName("UTF-8")))) ;    } catch (Exception e) {      throw new RuntimeException(e) ;    }  }    /**   *  <p>根据密钥生成不同的密钥材料</p>   *  <p>目前支持：AES, DES</p>   *  <p>时间：2020年12月25日-下午1:02:54</p>   * @author xg   * @param secretKey 密钥   * @param algorithm 算法   * @return Key   */  public Key getKeySpec(String algorithm) {    if (algorithm == null || algorithm.trim().length() == 0) {      return null ;    }    String secretKey = props.getKey() ;    switch (algorithm.toUpperCase()) {      case "AES":        return new SecretKeySpec(secretKey.getBytes(), "AES") ;      case "DES":        Key key = null ;        try {          DESKeySpec desKeySpec = new DESKeySpec(secretKey.getBytes()) ;          SecretKeyFactory secretKeyFactory = SecretKeyFactory.getInstance("DES") ;          key = secretKeyFactory.generateSecret(desKeySpec);        } catch (Exception e) {          throw new RuntimeException(e) ;        }        return key ;      default:        return null ;    }  }    /**   *  <p>生成密钥材料</p>   *  <p>时间：2020年12月25日-上午11:35:03</p>   * @author xg   * @return Key 密钥材料   */  public abstract Key keySpec() ;  }

该抽象类中提供了2中对称加密的密钥还原，分表是AES和DES算法。一个抽象方法，该抽象方法

keySpec该方法需要子类实现（具体使用的是哪种对称加密算法）。

具体加密算法的实现类

AESAlgorithm

public class AESAlgorithm extends AbstractSecretProcess {
  @Override  public String getAlgorithm() {    return "AES/ECB/PKCS5Padding";  }    @Override  public Key keySpec() {    return this.getKeySpec("AES") ;  }
}

SecretProperties

@Configurationpublic class SecretConfig {    @Bean  @ConditionalOnMissingBean(SecretProcess.class)  public SecretProcess secretProcess() {    return new AESAlgorithm() ;  }    @Component  @ConfigurationProperties(prefix = "secret")  public static class SecretProperties {        private Boolean enabled ;    private String key ;
    public Boolean getEnabled() {      return enabled;    }
    public void setEnabled(Boolean enabled) {      this.enabled = enabled;    }
    public String getKey() {      return key;    }
    public void setKey(String key) {      this.key = key;    }      }  }

配置文件中如下配置：

secret:  key: aaaabbbbccccdddd #密钥  enabled: true #是否开启加解密功能

在项目中可能不是所有的方法都要进行数据的加密解密出来，所以接下来定义一个注解，只有添加有该注解的Controller类或是具体接口方法才进行数据的加密解密，如下：

SIProtection

@Target({ElementType.METHOD, ElementType.TYPE})@Retention(RetentionPolicy.RUNTIME)@Mapping@Documentedpublic @interface SIProtection {
}

对请求内容进行解密出来，通过RequestBodyAdvice

DecryptRequestBodyAdivce

@ControllerAdvice@ConditionalOnProperty(name = "secret.enabled", havingValue = "true")public class DecryptRequestBodyAdivce extends RequestBodyAdviceAdapter {
  @Resource  private SecretProcess secretProcess ;    @Override  public boolean supports(MethodParameter methodParameter, Type targetType,      Class<? extends HttpMessageConverter<?>> converterType) {    return methodParameter.getMethod().isAnnotationPresent(SIProtection.class)         || methodParameter.getMethod().getDeclaringClass().isAnnotationPresent(SIProtection.class) ;  }
  @Override  public HttpInputMessage beforeBodyRead(HttpInputMessage inputMessage, MethodParameter parameter, Type targetType,      Class<? extends HttpMessageConverter<?>> converterType) throws IOException {    String body = secretProcess.decrypt(inToString(inputMessage.getBody())) ;    return new HttpInputMessage() {      @Override      public HttpHeaders getHeaders() {        return inputMessage.getHeaders();      }      @Override      public InputStream getBody() throws IOException {        return new ByteArrayInputStream(body.getBytes()) ;      }    } ;  }    private String inToString(InputStream is) {    byte[] buf = new byte[10 * 1024] ;    int leng = -1 ;    StringBuilder sb = new StringBuilder() ;    try {      while ((leng = is.read(buf)) != -1) {        sb.append(new String(buf, 0, leng)) ;      }      return sb.toString() ;    } catch (IOException e) {      throw new RuntimeException(e) ;    }  }
}

注意这里的：@ConditionalOnProperty(name = "secret.enabled", havingValue = "true")注解，只有开启了加解密功能才会生效。注意这里的supports方法

对响应内容加密出来

EncryptResponseBodyAdivce

@ControllerAdvice@ConditionalOnProperty(name = "secret.enabled", havingValue = "true")public class EncryptResponseBodyAdivce implements ResponseBodyAdvice<Object>  {
  @Resource  private SecretProcess secretProcess ;
  @Override  public boolean supports(MethodParameter returnType, Class<? extends HttpMessageConverter<?>> converterType) {    return returnType.getMethod().isAnnotationPresent(SIProtection.class)         || returnType.getMethod().getDeclaringClass().isAnnotationPresent(SIProtection.class) ;  }
  @Override  public Object beforeBodyWrite(Object body, MethodParameter returnType, MediaType selectedContentType,      Class<? extends HttpMessageConverter<?>> selectedConverterType, ServerHttpRequest request,      ServerHttpResponse response) {    if (body == null) {      return body ;    }    try {      String jsonStr = new ObjectMapper().writeValueAsString(body) ;      return secretProcess.encrypt(jsonStr) ;    } catch (Exception e) {      throw new RuntimeException(e) ;    }  }}

Controller接口

@PostMapping("/save")@SIProtectionpublic R save(@RequestBody Users users) {  return R.success(usersService.save(users)) ;} // 这对具体方法进行加解密
@RestController@RequestMapping("/users")@SIProtection public class UsersController { // 对该Controller中的所有方法进行加解密处理}

前端

引入第三方插件：crypto-js

工具方法加解密：

/** * 加密方法 * @param data 待加密数据 * @returns {string|*} */encrypt (data) {  let key = CryptoJS.enc.Utf8.parse(Consts.Secret.key)  if (typeof data === 'object') {    data = JSON.stringify(data)  }  let plainText = CryptoJS.enc.Utf8.parse(data)  let secretText = CryptoJS.AES.encrypt(plainText, key, {mode: CryptoJS.mode.ECB, padding: CryptoJS.pad.Pkcs7}).ciphertext.toString()  return secretText},/** * 解密数据 * @param data 待解密数据 */decrypt (data) {  let key = CryptoJS.enc.Utf8.parse(Consts.Secret.key)  let secretText = CryptoJS.enc.Hex.parse(data)  let encryptedBase64Str = CryptoJS.enc.Base64.stringify(secretText)  let result = CryptoJS.AES.decrypt(encryptedBase64Str, key, {mode: CryptoJS.mode.ECB, padding: CryptoJS.pad.Pkcs7}).toString(CryptoJS.enc.Utf8)  return JSON.parse(result)}

配置：

let Consts = {  Secret: {    key: 'aaaabbbbccccdddd', // 必须16位（前后端要一致，密钥）    urls: ['/users/save']  }}export default Consts

这里的urls表示对那些请求进行拦截出来（加解密），这里也可以配置 "*" 表示对所有的请求出来。

axios请求前和响应后对数据进行加解密出来：

发送请求前：

axios.interceptors.request.use((config) => {  let uri = config.url  if (uri.includes('?')) {    uri = uri.substring(0, uri.indexOf('?'))  }  if (window.cfg.enableSecret === '1' && config.data && (Consts.Secret.urls.indexOf('*') > -1 || Consts.Secret.urls.indexOf(uri) > -1)) {    let data = config.data    let secretText = Utils.Secret.encrypt(data)    config.data = secretText  }  return config}, (error) => {  let errorMessage = '请求失败'  store.dispatch(types.G_SHOW_ALERT, {title: '请求失败', content: errorMessage, showDetail: false, detailContent: String(error)})  return Promise.reject(error)})axios.interceptors.response.use((response) => {  let uri = response.config.url  if (uri.includes('?')) {    uri = uri.substring(0, uri.indexOf('?'))  }  if (window.cfg.enableSecret === '1' && response.data && (Consts.Secret.urls.indexOf('*') > -1 || Consts.Secret.urls.indexOf(uri) > -1)) {    let data = Utils.Secret.decrypt(response.data)    if (data) {      response.data = data    }  }  return response}, (error) => {  console.error(`test interceptors.response is in, ${error}`)  return Promise.reject(error)})

这里的 window.cfg.enableSecret 配置是我自己项目中有个配置文件配置是否开启，这个大家可以根据自己的环境来实现。

测试：

图片

这里可以看到前端发起的请求内容已经被加密了

响应内容：

图片

完毕！！！

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/81569.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

软件系统的预算评估方法

软件系统的预算评估方法

软件系统的预算评估是确保项目能够在预定时间和成本范围内完成的重要步骤之一。以下是一些常见的软件系统预算评估方法&#xff0c;希望对大家有所帮助。北京木奇移动技术有限公司&#xff0c;专业的软件外包开发公司&#xff0c;欢迎交流合作。 1.比较估算法&#xff1a; 这是…
阅读更多...
JMeter压测工具介绍、安装及汉化教程，详解安装目录结构

JMeter压测工具介绍、安装及汉化教程，详解安装目录结构

&#x1f9d1;‍&#x1f4bb;作者名称&#xff1a;DaenCode &#x1f3a4;作者简介&#xff1a;CSDN实力新星&#xff0c;后端开发两年经验&#xff0c;曾担任甲方技术代表&#xff0c;业余独自创办智源恩创网络科技工作室。会点点Java相关技术栈、帆软报表、低代码平台快速开…
阅读更多...
新一代最强开源UI自动化测试神器Playwright（Java版）（对话框处理）

新一代最强开源UI自动化测试神器Playwright（Java版）（对话框处理）

&#x1f3ad;Playwright让网页对话框&#x1f310;&#x1f4ac;处理变得更加快捷&#xff01;网页对话框是在网页上出现的常见弹窗&#xff0c;包括Alert、Confirm和Prompt等。这些对话框通常需要用户输入信息或进行某些选择&#xff0c;但是在自动化测试中处理它们可能会很棘…
阅读更多...
KVM嵌套虚拟化实现

KVM嵌套虚拟化实现

KVM嵌套虚拟化实现 理论 Libvirt主要支持三种 CPU mode host-passthrough: libvirt 令 KVM 把宿主机的 CPU 指令集全部透传给虚拟机。因此虚拟机能够最大限度的使用宿主机 CPU 指令集&#xff0c;故性能是最好的。但是在热迁移时&#xff0c;它要求目的节点的 CPU 和源节点的…
阅读更多...
片上网络（1）概述

片上网络（1）概述

前言 NoC&#xff1a;On-Chip Networks&#xff0c;片上网络。 由于多核乃至众核时代的到来&#xff0c;用于连接它们的可扩展、低延迟、大带宽的通信结构变得至关重要。 在核心较少时&#xff0c;总线Bus和矩阵/交叉开关Crossbar是主要的互联结构。总线可以提供较低的传输延迟…
阅读更多...
JS中BigInt的使用

JS中BigInt的使用

JS中BigInt的使用 BigInt是一种内置对象&#xff0c;它提供了一种方法来表示大于2^53 - 1的整数&#xff0c;通俗来讲就是提供了一种可以表示任意大整数的方法&#xff0c;当我们使用Number来表示一个超过了2 ^53 - 1的整数的时候&#xff0c;会出错。所以此时我们需要使用Big…
阅读更多...
LeetCode(力扣)55. 跳跃游戏Python

LeetCode(力扣)55. 跳跃游戏Python

LeetCode20. 有效的括号 题目链接代码 题目链接 https://leetcode.cn/problems/jump-game/ 代码 class Solution:def canJump(self, nums: List[int]) -> bool:if len(nums) < 1:return Truecover 0for i in range(len(nums)):if i < cover:cover max(cover, i …
阅读更多...
免备案海外服务器有什么好处？

免备案海外服务器有什么好处？

介绍一&#xff1a;了解海外服务器免备案的优点 免备案海外服务器是指在国外搭建网站服务器而不是在国内备案&#xff0c;这种模式可以带来一定的便利 。首先&#xff0c;海外服务器免备案可以使网站更加稳定&#xff0c;因为国外网络环境更加稳定&#xff0c;大多数国外服务 器…
阅读更多...
三维模型3DTile格式轻量化压缩处理的数据质量提升方法分析

三维模型3DTile格式轻量化压缩处理的数据质量提升方法分析

三维模型3DTile格式轻量化压缩处理的数据质量提升方法分析 在处理三维模型3DTile格式的轻量化压缩时&#xff0c;如何在减少数据量的同时&#xff0c;保证或提升数据质量是一大挑战。以下为一些提升数据质量的方法分析&#xff1a; 改进几何简化算法&#xff1a;在进行几何简化…
阅读更多...
行业报告 | 智慧三角：长三角掀起AI产业热潮

行业报告 | 智慧三角：长三角掀起AI产业热潮

原创 | 文 BFT机器人 产业集群是指在特定地理区域内&#xff0c;一群相关产业相互依存、相互关联、相互支持&#xff0c;形成密集的产业网络和价值链条的现象&#xff0c;这些相关产业可能涵盖整个产业链的不同环节&#xff0c;从原材料供应到产品研发、生产、销售和服务等多个…
阅读更多...
使用C#开发163邮件发送功能

使用C#开发163邮件发送功能

创建SMTP服务器&#xff08;发送邮件需要SMTP服务器代发&#xff09; 这里介绍创建网易SMTP&#xff08;SMTP是邮件通讯格式&#xff09;服务器&#xff1a; 1.先注册一个163网易邮箱 2.注册成功后登陆该邮箱 3.在该邮箱中找到设置>POP3/SMTP/IMAP点击进入&#xff0c;如下…
阅读更多...
怎样用图片去搜索商品呢？

怎样用图片去搜索商品呢？

taobao.item_search_img 为了进行电商平台 的API开发&#xff0c;首先我们需要做下面几件事情。 1&#xff09;开发者注册一个账号 2&#xff09;然后为每个taobao应用注册一个应用程序键&#xff08;App Key) 。 3&#xff09;下载taobaoAPI的SDK并掌握基本的API基础知识和…
阅读更多...
Docker基础入门

Docker基础入门

文章目录 前言一、什么是DockerDocker 安装Docker 镜像Docker 容器Docker 安装nginx 前言 在Linux上安装软件有三种方式&#xff1a; 在redhat系列下的发行版通过rpm包安装或者是在debian系列下的发行版通过deb包安装&#xff1b;通过工具安装&#xff0c;在redhat系列下的发…
阅读更多...
7年阿里测试经验之谈 —— 用UI自动化测试实现元素定位

7年阿里测试经验之谈 —— 用UI自动化测试实现元素定位

随着IT行业的发展&#xff0c;产品愈渐复杂&#xff0c;web端业务及流程更加繁琐&#xff0c;目前UI测试仅是针对单一页面&#xff0c;操作量大。为了满足多页面功能及流程的需求及节省工时&#xff0c;设计了这款UI 自动化测试程序。旨在提供接口&#xff0c;集成到蜗牛自动化…
阅读更多...
prometheus 告警

prometheus 告警

prometheus 告警 1, prometheus 告警简介 告警能力在Prometheus的架构中被划分成两个独立的部分。如下所示，通过在Prometheus中定义AlertRule（告警规则），Prometheus会周期性的对告警规则进行计算，如果满足告警触发条件就会向Alertmanager发送告警信息。 在Prometheus中一…
阅读更多...
【Spring容器的启动过程】

【Spring容器的启动过程】

Spring容器的启动过程 Spring 在初始化过程中有二个非常重要的步骤&#xff0c;容器的初始化与刷新。 初始化流程 如果想生成 bean 对象&#xff0c;那么就需要一个 beanFactory 工厂&#xff08;DefaultListableBeanFactory&#xff09;如果想让加了特定注解&#xff08;如 …
阅读更多...
【论文笔记】Baidu Apollo EM Motion Planner

【论文笔记】Baidu Apollo EM Motion Planner

文章目录 AbstractI. INTRODUCTIONA. Multilane StrategyB. Path-Speed Iterative AlgorithmC. Decisions and Traffic Regulations II. EM PLANNER FRAMEWORK WITH MULTILANE STRATEGYIII. EM PLANNER AT LANE LEVELA. SL and ST Mapping (E-step)B. M-Step DP PathC. M-Step …
阅读更多...
刻字机尖角补偿

刻字机尖角补偿

1 刻字机尖角补偿原理 刀具切割直线段过渡方法在文章旋转偏心裁切刀切向跟踪及半径补偿 已经有过说明。刻字机由于刀具半径的影响&#xff0c;切割直角时会不直会比较圆滑&#xff0c;而且在闭合曲线的下刀点会容易不闭合。使用尖角补偿可以克服这些问题。 如上图所示&#xf…
阅读更多...
上海亚商投顾：沪指放量反弹 医药、AI概念股集体走强

上海亚商投顾：沪指放量反弹 医药、AI概念股集体走强

上海亚商投顾前言&#xff1a;无惧大盘涨跌&#xff0c;解密龙虎榜资金&#xff0c;跟踪一线游资和机构资金动向&#xff0c;识别短期热点和强势个股。 一.市场情绪 三大指数早间震荡反弹&#xff0c;午后集体拉升涨超1%&#xff0c;深成指一度涨超1.5%&#xff0c;随后涨幅略…
阅读更多...
【JDK 8-Lambda】3.2 自定义函数式编程实战

【JDK 8-Lambda】3.2 自定义函数式编程实战

一、自定义lambda接口流程 需求 : 定义一个可以使用加减乘除的接口 Stage 1&#xff1a;定义一个函数式接口 Stage 2&#xff1a;写一个方法&#xff0c;输入需要操做的数据和接口 Stage 3&#xff1a;运行结果 一、自定义lambda接口流程 需求 : 定义一个可以使用加减乘除的…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023