开发中经常用到接口，尤其是在面向服务的soa架构中，数据交互全是用的接口。
几年以前我认为，我写个接口，不向任何人告知我的接口地址，我的接口就是安全的，现在回想真是too young,too simple。但凡部署在广域网的应用程序，随随便便的好多工具可以根据ip或域名扫描应用程序的所有暴露的接口，进而分析参数，注入程序，分分钟被攻击。
那咋才能保证接口的安全性呢？
（一）面临的主要安全问题
a.网络环境假设：
a1.假设公共网络（Internet，如：WIFI、非家庭网络、非办公网络等） 是不安全的，一切基于HTTP协议的请求/响应(Request or Response)都是可以被截获的、篡改、重放(重发)的。
b.接口安全要求：
b1.防伪装攻击（案例：在公共网络环境中，第三方 有意或恶意 的调用我们的接口）
b2.防篡改攻击（案例：在公共网络环境中，请求头/查询字符串/内容 在传输过程被修改）
b3.防重放攻击（案例：在公共网络环境中，请求被截获，稍后被重放或多次重放）
b4.防数据信息泄漏（案例：截获用户登录请求，截获到账号、密码等）
（二）可参考的商业标准
可参见： HTTP数据传输安全方案 HTTPS（HTTP安全商业标准）
http://baike.baidu.com/view/14121.htm
（三）可参考国内互联网厂商参考
新浪OpenAPI、腾讯、淘宝 等。
（四）设计原则
1.轻量级
2.适合于异构系统（跨操作系统、多语言简易实现）
3.易于开发
4.易于测试
5.易于部署
6.满足接口安全需求（满足b1 b2 b3要求），无过度设计。
其它：接口安全要求b4部分，主要针对目前用户中心的登录接口
设计原则是：使用HTTPS安全协议 或 传输内容使用非对称加密，目前我们采用的后者。
（五）适用范围
1.所有写操作接口（增、删、改 操作）
2.非公开的读接口（如：涉密/敏感/隐私 等信息）
（六）接口参数签名 实现思路参考
必要的输入参数
|
参数名 |
类型 |
必选 |
描述 |
| _appid | string | 是 | 调用方身份ID，接口提供方用此来识别调不同的调用者，该参数是API基本规范的一部分，请详见API公共规范。 |
|
_sign |
string |
是 |
一次接口调用的签名值，服务器端 “防止 伪装请求/防篡改/ 防重发” 识别的重要依据。 |
|
_timestamp |
Int |
是 |
时间戳 |
签名算法过程：
1.对除签名外的所有请求参数按key做的升序排列,value无需编码。
（假设当前时间的时间戳是12345678）
例如：有c=3,b=2,a=1 三个参，另加上时间戳后， 按key排序后为：a=1，b=2，c=3，_timestamp=12345678。
2 把参数名和参数值连接成字符串，得到拼装字符：a1b2c3_timestamp12345678
3 用申请到的appkey 连接到接拼装字符串头部和尾部，然后进行32位MD5加密，最后将到得MD5加密摘要转化成大写。
示例：假设appkey=test，md5(testa1b2c3_timestamp12345678test)，取得MD5摘要值 C5F3EB5D7DC2748AED89E90AF00081E6 。
再看一个更具体的Sample Code:
如何得取如下请求的签名值：
http://api.demo.com/dog/add?1=壹&A=aaa&Z=zzz&_appid=club&_timestamp=12345678&a=AAA&z=ZZZ
C#实现代码如下 ( 请新建一个C#代码文件 SampleCode.cs )：
test()方法展示了如何取得该请的签名参数值 ( _sign=8B0E081689789CF66490E65BB8E1B0E7 )，现实业务中依据自己的情况，把创建请求的过程封装成公共方法，使得请求url的创建过程对开发人员透明，简化处理。
[下方会提供 .Net的 Sample Code]
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
.Net
using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;
namespace test3
{
public class SampleCode
{
public static string test()
{
int _timestamp = 12345678;
var param = new SortedDictionary<string, string>(new AsciiComparer());
param.Add("z", "ZZZ");
param.Add("a", "AAA");
param.Add("Z", "zzz");
param.Add("A", "aaa");
param.Add("2", "贰");
param.Add("1", "壹");
param.Add("_appid", "club");
param.Add("_timestamp", _timestamp.ToString());
string _sign = GetSign(param);
string urlParam = string.Join("&", param.Select(i => i.Key + "=" + i.Value));
string url = "http://api.demo.com/dog/add?" + urlParam + "&_sign=" + _sign;
return url;
}
public static string GetSign(SortedDictionary<string, string> paramList, string appKey = "test")
{
paramList.Remove("_sign");
StringBuilder sb = new StringBuilder(appKey);
foreach (var p in paramList)
sb.Append(p.Key).Append(p.Value);
sb.Append(appKey);
return GetMD5(sb.ToString());
}
public static string GetMD5(string str)
{
if (string.IsNullOrEmpty(str))
return str;
var sb = new StringBuilder(32);
var md5 = System.Security.Cryptography.MD5.Create();
var output = md5.ComputeHash(Encoding.UTF8.GetBytes(str));
for (int i = 0; i < output.Length; i++)
sb.Append(output[i].ToString("X").PadLeft(2, ‘0‘));
return sb.ToString();
}
}
/// <summary>
/// 基于ASCII码排序规则的String比较器
/// Author：HeDaHong
/// </summary>
public class AsciiComparer : System.Collections.Generic.IComparer<string>
{
public int Compare(string a, string b)
{
if (a == b)
return 0;
else if (string.IsNullOrEmpty(a))
return -1;
else if (string.IsNullOrEmpty(b))
return 1;
if (a.Length <= b.Length)
{
for (int i = 0; i < a.Length; i++)
{
if (a[i] < b[i])
return -1;
else if (a[i] > b[i])
return 1;
else
continue;
}
return a.Length == b.Length ? 0 : -1;
}
else
{
for (int i = 0; i < b.Length; i++)
{
if (a[i] < b[i])
return -1;
else if (a[i] > b[i])
return 1;
else
continue;
}
return 1;
}
}
}
}
总结：
- 接口调用方和接口提供方约定好统一的参数加密算法
- 接口调用方在调用时把加密后的_sign放在参数中去请求接口
- 接口提供方接到响应后，把参数中除了_sign以外的参数进行加密，然后把加密结果和传过来的_sign比较，相同则执行调用请求。