您現在的位置:首頁 > 資訊 > 特別關注 > 正文

        [云原生]接口安全方案提供和實踐

        時間:2023-03-31 05:27:46    來源:騰訊云    

        為什么要保證接口安全

        對于互聯網來說,只要你系統的接口暴露在外網,就避免不了接口安全問題。 如果你的接口在外網裸奔,只要讓黑客知道接口的地址和參數就可以調用,那簡直就是災難。


        (資料圖)

        舉個例子:你的網站用戶注冊的時候,需要填寫手機號,發送手機驗證碼,如果這個發送驗證碼的接口沒有經過特殊安全處理,那這個短信接口早就被人盜刷不知道浪費多少錢了。

        那如何保證接口安全呢?

        一般來說,暴露在外網的api接口需要做到防篡改防重放才能稱之為安全的接口。

        防篡改

        我們知道http 是一種無狀態的協議,服務端并不知道客戶端發送的請求是否合法,也并不知道請求中的參數是否正確。

        舉個例子, 現在有個充值的接口,調用后可以給用戶增加對應的余額。

        http://localhost/api/user/recharge?user_id=1001&amount=10

        如果非法用戶通過抓包獲取到接口參數后,修改user_id 或 amount的值就可以實現給任意賬戶添加余額的目的。

        1,如何解決

        采用https協議可以將傳輸的明文進行加密,但是黑客仍然可以截獲傳輸的數據包,進一步偽造請求進行重放攻擊。如果黑客使用特殊手段讓請求方設備使用了偽造的證書進行通信,那么https加密的內容也會被解密。

        一般的做法有2種:

        采用https方式把接口的數據進行加密傳輸,即便是被黑客破解,黑客也花費大量的時間和精力去破解。接口后臺對接口的請求參數進行驗證,防止被黑客篡改;步驟1:客戶端使用約定好的秘鑰對傳輸的參數進行加密,得到簽名值sign1,并且將簽名值也放入請求的參數中,發送請求給服務端步驟2:服務端接收到客戶端的請求,然后使用約定好的秘鑰對請求的參數再次進行簽名,得到簽名值sign2。步驟3:服務端比對sign1和sign2的值,如果不一致,就認定為被篡改,非法請求。

        防重放

        防重放也叫防復用。簡單來說就是我獲取到這個請求的信息之后什么也不改,,直接拿著接口的參數去 重復請求這個充值的接口。此時我的請求是合法的, 因為所有參數都是跟合法請求一模一樣的。重放攻擊會造成兩種后果:

        針對插入數據庫接口:重放攻擊,會出現大量重復數據,甚至垃圾數據會把數據庫撐爆。針對查詢的接口:黑客一般是重點攻擊慢查詢接口,例如一個慢查詢接口1s,只要黑客發起重放攻擊,就必然造成系統被拖垮,數據庫查詢被阻塞死。

        對于重放攻擊一般有兩種做法:

        基于timestamp的方案

        每次HTTP請求,都需要加上timestamp參數,然后把timestamp和其他參數一起進行數字簽名。因為一次正常的HTTP請求,從發出到達服務器一般都不會超過60s,所以服務器收到HTTP請求之后,首先判斷時間戳參數與當前時間比較,是否超過了60s,如果超過了則認為是非法請求。

        一般情況下,黑客從抓包重放請求耗時遠遠超過了60s,所以此時請求中的timestamp參數已經失效了。 如果黑客修改timestamp參數為當前的時間戳,則sign1參數對應的數字簽名就會失效,因為黑客不知道簽名秘鑰,沒有辦法生成新的數字簽名。

        但是這種方式的漏洞也是顯而易見,如果在60s之內進行重放攻擊,那就沒辦法了,所以這種方式不能保證請求僅一次有效。

        老鳥們一般會采取下面這種方案,既可以解決接口重放問題,又可以解決一次請求有效的問題。

        基于nonce + timestamp 的方案

        nonce的意思是僅一次有效的隨機字符串,要求每次請求時該參數要保證不同。實際使用用戶信息+時間戳+隨機數等信息做個哈希之后,作為nonce參數。

        此時服務端的處理流程如下:

        去 redis 中查找是否有 key 為 nonce:{nonce}的 string如果沒有,則創建這個 key,把這個 key 失效的時間和驗證 timestamp 失效的時間一致,比如是 60s。如果有,說明這個 key 在 60s 內已經被使用了,那么這個請求就可以判斷為重放請求。

        這種方案nonce和timestamp參數都作為簽名的一部分傳到后端,基于timestamp方案可以讓黑客只能在60s內進行重放攻擊,加上nonce隨機數以后可以保證接口只能被調用一次,可以很好的解決重放攻擊問題。

        代碼實現

        接下來以SpringBoot項目為例看看如何實現接口的防篡改和防重放功能。

        1、構建請求頭對象

        @Data@Builderpublic class RequestHeader {   private String sign ;   private Long timestamp ;   private String nonce;}

        2、工具類從HttpServletRequest獲取請求參數

        @Slf4j@UtilityClasspublic class HttpDataUtil {    /**     * post請求處理:獲取 Body 參數,轉換為SortedMap     *     * @param request     */    public  SortedMap getBodyParams(final HttpServletRequest request) throws IOException {        byte[] requestBody = StreamUtils.copyToByteArray(request.getInputStream());        String body = new String(requestBody);        return JsonUtil.json2Object(body, SortedMap.class);    }??    /**     * get請求處理:將URL請求參數轉換成SortedMap     */    public static SortedMap getUrlParams(HttpServletRequest request) {        String param = "";        SortedMap result = new TreeMap<>();?        if (StringUtils.isEmpty(request.getQueryString())) {            return result;        }?        try {            param = URLDecoder.decode(request.getQueryString(), "utf-8");        } catch (UnsupportedEncodingException e) {            e.printStackTrace();        }?        String[] params = param.split("&");        for (String s : params) {            String[] array=s.split("=");            result.put(array[0], array[1]);        }        return result;    }}

        這里的參數放入SortedMap中對其進行字典排序,前端構建簽名時同樣需要對參數進行字典排序。

        3、簽名驗證工具類

        @Slf4j@UtilityClasspublic class SignUtil {    /**     * 驗證簽名     * 驗證算法:把timestamp + JsonUtil.object2Json(SortedMap)合成字符串,然后MD5     */    @SneakyThrows    public  boolean verifySign(SortedMap map, RequestHeader requestHeader) {        String params = requestHeader.getNonce() + requestHeader.getTimestamp() + JsonUtil.object2Json(map);        return verifySign(params, requestHeader);    }?    /**     * 驗證簽名     */    public boolean verifySign(String params, RequestHeader requestHeader) {        log.debug("客戶端簽名: {}", requestHeader.getSign());        if (StringUtils.isEmpty(params)) {            return false;        }        log.info("客戶端上傳內容: {}", params);        String paramsSign = DigestUtils.md5DigestAsHex(params.getBytes()).toUpperCase();        log.info("客戶端上傳內容加密后的簽名結果: {}", paramsSign);        return requestHeader.getSign().equals(paramsSign);    }}

        4、HttpServletRequest包裝類

        public class SignRequestWrapper extends HttpServletRequestWrapper {    //用于將流保存下來    private byte[] requestBody = null;?    public SignRequestWrapper(HttpServletRequest request) throws IOException {        super(request);        requestBody = StreamUtils.copyToByteArray(request.getInputStream());    }?    @Override    public ServletInputStream getInputStream() throws IOException {        final ByteArrayInputStream bais = new ByteArrayInputStream(requestBody);?        return new ServletInputStream() {            @Override            public boolean isFinished() {                return false;            }?            @Override            public boolean isReady() {                return false;            }?            @Override            public void setReadListener(ReadListener readListener) {?            }?            @Override            public int read() throws IOException {                return bais.read();            }        };?    }?    @Override    public BufferedReader getReader() throws IOException {        return new BufferedReader(new InputStreamReader(getInputStream()));    }}

        防篡改和防重放我們會通過SpringBoot Filter來實現,而編寫的filter過濾器需要讀取request數據流,但是request數據流只能讀取一次,需要自己實現HttpServletRequestWrapper對數據流包裝,目的是將request流保存下來。

        5、創建過濾器實現安全校驗

        @Configurationpublic class SignFilterConfiguration {    @Value("${sign.maxTime}")    private String signMaxTime;?    //filter中的初始化參數    private Map initParametersMap =  new HashMap<>();?    @Bean    public FilterRegistrationBean contextFilterRegistrationBean() {        initParametersMap.put("signMaxTime",signMaxTime);        FilterRegistrationBean registration = new FilterRegistrationBean();        registration.setFilter(signFilter());        registration.setInitParameters(initParametersMap);        registration.addUrlPatterns("/sign/*");        registration.setName("SignFilter");        // 設置過濾器被調用的順序        registration.setOrder(1);        return registration;    }?    @Bean    public Filter signFilter() {        return new SignFilter();    }}
        @Slf4jpublic class SignFilter implements Filter {    @Resource    private RedisUtil redisUtil;?    //從fitler配置中獲取sign過期時間    private Long signMaxTime;?    private static final String NONCE_KEY = "x-nonce-";?    @Override    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {        HttpServletRequest httpRequest = (HttpServletRequest) servletRequest;        HttpServletResponse httpResponse = (HttpServletResponse) servletResponse;?        log.info("過濾URL:{}", httpRequest.getRequestURI());?        HttpServletRequestWrapper requestWrapper = new SignRequestWrapper(httpRequest);        //構建請求頭        RequestHeader requestHeader = RequestHeader.builder()                .nonce(httpRequest.getHeader("x-Nonce"))                .timestamp(Long.parseLong(httpRequest.getHeader("X-Time")))                .sign(httpRequest.getHeader("X-Sign"))                .build();?        //驗證請求頭是否存在        if(StringUtils.isEmpty(requestHeader.getSign()) || ObjectUtils.isEmpty(requestHeader.getTimestamp()) || StringUtils.isEmpty(requestHeader.getNonce())){            responseFail(httpResponse, ReturnCode.ILLEGAL_HEADER);            return;        }?        /*         * 1.重放驗證         * 判斷timestamp時間戳與當前時間是否操過60s(過期時間根據業務情況設置),如果超過了就提示簽名過期。         */        long now = System.currentTimeMillis() / 1000;?        if (now - requestHeader.getTimestamp() > signMaxTime) {            responseFail(httpResponse,ReturnCode.REPLAY_ERROR);            return;        }?        //2. 判斷nonce        boolean nonceExists = redisUtil.hasKey(NONCE_KEY + requestHeader.getNonce());        if(nonceExists){            //請求重復            responseFail(httpResponse,ReturnCode.REPLAY_ERROR);            return;        }else {            redisUtil.set(NONCE_KEY+requestHeader.getNonce(), requestHeader.getNonce(), signMaxTime);        }??        boolean accept;        SortedMap paramMap;        switch (httpRequest.getMethod()){            case "GET":                paramMap = HttpDataUtil.getUrlParams(requestWrapper);                accept = SignUtil.verifySign(paramMap, requestHeader);                break;            case "POST":                paramMap = HttpDataUtil.getBodyParams(requestWrapper);                accept = SignUtil.verifySign(paramMap, requestHeader);                break;            default:                accept = true;                break;        }        if (accept) {            filterChain.doFilter(requestWrapper, servletResponse);        } else {            responseFail(httpResponse,ReturnCode.ARGUMENT_ERROR);            return;        }?    }?    private void responseFail(HttpServletResponse httpResponse, ReturnCode returnCode)  {        ResultData resultData = ResultData.fail(returnCode.getCode(), returnCode.getMessage());        WebUtils.writeJson(httpResponse,resultData);    }?    @Override    public void init(FilterConfig filterConfig) throws ServletException {        String signTime = filterConfig.getInitParameter("signMaxTime");        signMaxTime = Long.parseLong(signTime);    }}

        6、Redis工具類

        @Componentpublic class RedisUtil {    @Resource    private RedisTemplate redisTemplate;?    /**     * 判斷key是否存在     * @param key 鍵     * @return true 存在 false不存在     */    public boolean hasKey(String key) {        try {            return Boolean.TRUE.equals(redisTemplate.hasKey(key));        } catch (Exception e) {            e.printStackTrace();            return false;        }    }??    /**     * 普通緩存放入并設置時間     * @param key   鍵     * @param value 值     * @param time  時間(秒) time要大于0 如果time小于等于0 將設置無限期     * @return true成功 false 失敗     */    public boolean set(String key, Object value, long time) {        try {            if (time > 0) {                redisTemplate.opsForValue().set(key, value, time, TimeUnit.SECONDS);            } else {                set(key, value);            }            return true;        } catch (Exception e) {            e.printStackTrace();            return false;        }    }?    /**     * 普通緩存放入     * @param key   鍵     * @param value 值     * @return true成功 false失敗     */    public boolean set(String key, Object value) {        try {            redisTemplate.opsForValue().set(key, value);            return true;        } catch (Exception e) {            e.printStackTrace();            return false;        }    }?}
        關鍵詞:

        上一篇:
        下一篇:

        相關新聞

        最近更新

        凡本網注明“XXX(非汪清新聞網)提供”的作品,均轉載自其它媒體,轉載目的在于傳遞更多信息,并不代表本網贊同其觀點和其真實性負責。

        特別關注

        • 省委召開常委會議

          今天,在中央第一環境保護督察組向吉林省反饋督察情況后,省委書記巴音朝魯立即主持召開省委常委會議,聽取關于中央環保督察反饋問題整改工

          2017-12-29 14:30

        • 2017年全球十大航天新聞和中國十大航天新聞評選揭曉。

          新浪科技訊 12月28日消息,由空間瞭望智庫、《國際太空》和《衛星應用》雜志,以及中國太空網聯合組織的2017年全球十大航天新聞和中國十大

          2017-12-28 21:47

        • 五星級酒店馬桶刷洗茶杯,酒店以后還能住嗎?

          保潔人員先用馬桶刷子刷茶杯,隨后用同一把馬桶刷子刷馬桶。緊接著,她用浴巾擦杯子,再蘸了馬桶水擦地,最后將浴巾放在地上整理。馬桶刷刷

          2017-12-28 21:12

        • 這些政策將影響你明年錢袋子

          近日,國家發改委、住建部、商務部、工信部、交通部等部委密集召開年度工作會議,貫徹落實中央經濟工作會議精神,部署2018年的重點工作,在

          2017-12-27 21:40

        • 生態文明建設年度評價結果公布:吉林排名靠前

          根據中共中央辦公廳、國務院辦公廳印發的《生態文明建設目標評價考核辦法》和國家發展改革委、國家統計局、環境保護部、中央組織部印發的《

          2017-12-26 16:34

        • 長春市公安局寬城區分局“一號追逃目標”嫌疑人喜歡二人轉“露出馬腳”

          21年前的12月25日,這一天是圣誕節,雖然是西方的節日,但隨著夜幕降臨,歡樂的節日氣氛也隨之而來。當晚,八點多鐘,長春市寬城區的一家藥

          2017-12-15 22:18

        • “第一動力”正加力

          十九大報告再次明確創新的地位:創新是引領發展的第一動力,是建設現代化經濟體系的戰略支撐。2017年,我省創新成果豐碩,形成了跟跑、齊跑

          2017-12-12 10:34

        • 中紀委機關談反腐

          每到關鍵節點,人們總是根據一些重要信號來判斷一項工作的走勢。十九大閉幕后的首月,人們熟悉的打虎節奏和信息如約而至,中央紀委監察部網

          2017-12-08 12:32

        • 撐起“半壁江山” 釋放更強動力

          長春、通化、白山、遼源入選東北地區民營經濟發展改革示范城市,在政策環境、金融環境、創新環境、促進民營經濟轉型升級及人才隊伍建設等方

          2017-12-08 12:21

        • 300城市土地市場量跌價漲 成交均價上漲

          11月,全國300城市土地市場供求回落,但各線城市土地成交均價環同比繼續上漲。綜合前11個月來看,年度土地出讓收入整體保持同比上漲勢態。6

          2017-12-07 18:43