互联网发展至今，已由传统的前后端统一架构演变为如今的前后端分离架构，最初的前端网页大多由JSP、ASP、PHP等动态网页技术生成，前后端十分耦合，也不利于扩展。现在的前端分支很多，如：Web前端、Android端、IOS端，甚至还有物联网等。前后端分离的好处就是后端只需要实现一套界面，所有前端即可通用。
前后端的传输通过HTTP进行传输，也带来了一些安全问题，如果抓包、模拟请求、洪水攻击、参数劫持、网络爬虫等等。如何对非法请求进行有效拦截，保护合法请求的权益是这篇文章需要讨论的。
作者依据多年互联网后端开发经验，总结出了以下提升网络安全的方式：

采用HTTPS协议
密钥存储到服务端而非客户端，客户端应从服务端动态获取密钥
请求隐私接口，利用token机制校验其合法性
对请求参数进行合法性校验
对请求参数进行签名认证，防止参数被篡改
对输入输出参数进行加密，客户端加密输入参数，服务端加密输出参数

那么，下面我将对以上方式展开做详细说明。

HTTP VS HTTPS

普通的HTTP协议是以明文形式进行传输，不提供任何方式的数据加密，很容易解读传输报文。而HTTPS协议在HTTP基础上加入了SSL层，而SSL层通过证书来验证服务器的身份，并为浏览器和服务器之间的通信加密，保护了传输过程中的数据安全。

动态密钥的获取

对于可逆加密算法，是需要通过密钥进行加解密，如果直接放到客户端，那么很容易反编译后拿到密钥，这是相当不安全的做法，因此考虑将密钥放到服务端，由服务端提供接口，让客户单动态获取密钥，具体做法如下：
1、客户端先通过RSA算法生成一套客户端的公私钥对(clientPublicKey和clientPrivateKey)
2、调用getRSA接口，服务端会返回serverPublicKey
3、客户端拿到serverPublicKey后，用serverPublicKey作为公钥，clientPublicKey作为明文对clientPublicKey进行RSA加密，调用getKey接口，将加密后的clientPublicKey传给服务端，服务端接收到请求后会传给客户端RSA加密后的密钥
4、客户端拿到后以clientPrivateKey为私钥对其解密，得到最终的密钥，此流程结束。
（注：上述提到的所以数据均不能保存到文件里，必须保存到内存中，因为只有保存到内存中，黑客才拿不到这些核心数据，所以每次使用获取的密钥前先判断内存中的密钥是否存在，不存在，则需要获取。）
为了便于理解，我画了一个简单的流程图：

那么具体是如何实现的呢，请看代码：

#全局密钥配置，所以加密算法统一密钥
api:encrypt:key: d7b85c6e414dbcda
#此配置的公司钥信息为测试数据，不能直接使用，请自行重新生成公私钥
rsa:publicKey: MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCcZlkHaSN0fw3CWGgzcuPeOKPdNKHdc2nR6KLXazhhzFhe78NqMrhsyNTf3651acS2lADK3CzASzH4T0bT+GnJ77joDOP+0SqubHKwAIv850lT0QxS+deuUHg2+uHYhdhIw5NCmZ0SkNalw8igP1yS+2TEIYan3lakPBvZISqRswIDAQABprivateKey: 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

 <dependency><groupId>commons-codec</groupId><artifactId>commons-codec</artifactId></dependency><dependency><groupId>commons-io</groupId><artifactId>commons-io</artifactId><version>2.6</version></dependency>

public class AesEncryptUtils {private static final String KEY = "d7585fde114abcda";private static final String ALGORITHMSTR = "AES/CBC/NoPadding";public static String base64Encode(byte[] bytes) {return Base64.encodeBase64String(bytes);}public static byte[] base64Decode(String base64Code) throws Exception {return Base64.decodeBase64(base64Code);}public static byte[] aesEncryptToBytes(String content, String encryptKey) throws Exception {KeyGenerator kgen = KeyGenerator.getInstance("AES");kgen.init(128);Cipher cipher = Cipher.getInstance(ALGORITHMSTR);cipher.init(Cipher.ENCRYPT_MODE, new SecretKeySpec(encryptKey.getBytes(), "AES"));return cipher.doFinal(content.getBytes("utf-8"));}public static String aesEncrypt(String content, String encryptKey) throws Exception {return base64Encode(aesEncryptToBytes(content, encryptKey));}public static String aesDecryptByBytes(byte[] encryptBytes, String decryptKey) throws Exception {KeyGenerator kgen = KeyGenerator.getInstance("AES");kgen.init(128);Cipher cipher = Cipher.getInstance(ALGORITHMSTR);cipher.init(Cipher.DECRYPT_MODE, new SecretKeySpec(decryptKey.getBytes(), "AES"));byte[] decryptBytes = cipher.doFinal(encryptBytes);return new String(decryptBytes);}public static String aesDecrypt(String encryptStr, String decryptKey) throws Exception {return aesDecryptByBytes(base64Decode(encryptStr), decryptKey);}public static void main(String[] args) throws Exception {String content = "{name:\"lynn\",id:1}";System.out.println("加密前：" + content);String encrypt = aesEncrypt(content, KEY);System.out.println(encrypt.length() + ":加密后：" + encrypt);String decrypt = aesDecrypt("H9pGuDMV+iJoS8YSfJ2Vx0NYN7v7YR0tMm1ze5zp0WvNEFXQPM7K0k3IDUbYr5ZIckTkTHcIX5Va/cstIPrYEK3KjfCwtOG19l82u+x6soa9FzAtdL4EW5HAFMmpVJVyG3wz/XUysIRCwvoJ20ruEwk07RB3ojc1Vtns8t4kKZE=", "d7b85f6e214abcda");System.out.println("解密后：" + decrypt);}
}
public class RSAUtils {public static final String CHARSET = "UTF-8";public static final String RSA_ALGORITHM = "RSA";public static Map<String, String> createKeys(int keySize){//为RSA算法创建一个KeyPairGenerator对象KeyPairGenerator kpg;try{kpg = KeyPairGenerator.getInstance(RSA_ALGORITHM);}catch(NoSuchAlgorithmException e){throw new IllegalArgumentException("No such algorithm-->[" + RSA_ALGORITHM + "]");}//初始化KeyPairGenerator对象,密钥长度kpg.initialize(keySize);//生成密匙对KeyPair keyPair = kpg.generateKeyPair();//得到公钥Key publicKey = keyPair.getPublic();String publicKeyStr = Base64.encodeBase64String(publicKey.getEncoded());//得到私钥Key privateKey = keyPair.getPrivate();String privateKeyStr = Base64.encodeBase64String(privateKey.getEncoded());Map<String, String> keyPairMap = new HashMap<>(2);keyPairMap.put("publicKey", publicKeyStr);keyPairMap.put("privateKey", privateKeyStr);return keyPairMap;}/*** 得到公钥* @param publicKey 密钥字符串（经过base64编码）* @throws Exception*/public static RSAPublicKey getPublicKey(String publicKey) throws NoSuchAlgorithmException, InvalidKeySpecException {//通过X509编码的Key指令获得公钥对象KeyFactory keyFactory = KeyFactory.getInstance(RSA_ALGORITHM);X509EncodedKeySpec x509KeySpec = new X509EncodedKeySpec(Base64.decodeBase64(publicKey));RSAPublicKey key = (RSAPublicKey) keyFactory.generatePublic(x509KeySpec);return key;}/*** 得到私钥* @param privateKey 密钥字符串（经过base64编码）* @throws Exception*/public static RSAPrivateKey getPrivateKey(String privateKey) throws NoSuchAlgorithmException, InvalidKeySpecException {//通过PKCS#8编码的Key指令获得私钥对象KeyFactory keyFactory = KeyFactory.getInstance(RSA_ALGORITHM);PKCS8EncodedKeySpec pkcs8KeySpec = new PKCS8EncodedKeySpec(Base64.decodeBase64(privateKey));RSAPrivateKey key = (RSAPrivateKey) keyFactory.generatePrivate(pkcs8KeySpec);return key;}/*** 公钥加密* @param data* @param publicKey* @return*/public static String publicEncrypt(String data, RSAPublicKey publicKey){try{Cipher cipher = Cipher.getInstance(RSA_ALGORITHM);cipher.init(Cipher.ENCRYPT_MODE, publicKey);return Base64.encodeBase64String(rsaSplitCodec(cipher, Cipher.ENCRYPT_MODE, data.getBytes(CHARSET), publicKey.getModulus().bitLength()));}catch(Exception e){throw new RuntimeException("加密字符串[" + data + "]时遇到异常", e);}}/*** 私钥解密* @param data* @param privateKey* @return*/public static String privateDecrypt(String data, RSAPrivateKey privateKey){try{Cipher cipher = Cipher.getInstance(RSA_ALGORITHM);cipher.init(Cipher.DECRYPT_MODE, privateKey);return new String(rsaSplitCodec(cipher, Cipher.DECRYPT_MODE, Base64.decodeBase64(data), privateKey.getModulus().bitLength()), CHARSET);}catch(Exception e){throw new RuntimeException("解密字符串[" + data + "]时遇到异常", e);}}/*** 私钥加密* @param data* @param privateKey* @return*/public static String privateEncrypt(String data, RSAPrivateKey privateKey){try{Cipher cipher = Cipher.getInstance(RSA_ALGORITHM);cipher.init(Cipher.ENCRYPT_MODE, privateKey);return Base64.encodeBase64String(rsaSplitCodec(cipher, Cipher.ENCRYPT_MODE, data.getBytes(CHARSET), privateKey.getModulus().bitLength()));}catch(Exception e){throw new RuntimeException("加密字符串[" + data + "]时遇到异常", e);}}/*** 公钥解密* @param data* @param publicKey* @return*/public static String publicDecrypt(String data, RSAPublicKey publicKey){try{Cipher cipher = Cipher.getInstance(RSA_ALGORITHM);cipher.init(Cipher.DECRYPT_MODE, publicKey);return new String(rsaSplitCodec(cipher, Cipher.DECRYPT_MODE, Base64.decodeBase64(data), publicKey.getModulus().bitLength()), CHARSET);}catch(Exception e){throw new RuntimeException("解密字符串[" + data + "]时遇到异常", e);}}private static byte[] rsaSplitCodec(Cipher cipher, int opmode, byte[] datas, int keySize){int maxBlock = 0;if(opmode == Cipher.DECRYPT_MODE){maxBlock = keySize / 8;}else{maxBlock = keySize / 8 - 11;}ByteArrayOutputStream out = new ByteArrayOutputStream();int offSet = 0;byte[] buff;int i = 0;try{while(datas.length > offSet){if(datas.length-offSet > maxBlock){buff = cipher.doFinal(datas, offSet, maxBlock);}else{buff = cipher.doFinal(datas, offSet, datas.length-offSet);}out.write(buff, 0, buff.length);i++;offSet = i * maxBlock;}}catch(Exception e){throw new RuntimeException("加解密阀值为["+maxBlock+"]的数据时发生异常", e);}byte[] resultDatas = out.toByteArray();IOUtils.closeQuietly(out);return resultDatas;}public static void main(String[] args) throws Exception{Map<String, String> keyMap = RSAUtils.createKeys(1024);String  publicKey = keyMap.get("publicKey");String  privateKey = "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";System.out.println("公钥: \n\r" + publicKey);System.out.println("私钥： \n\r" + privateKey);System.out.println("公钥加密——私钥解密");String str = "站在大明门前守卫的禁卫军，事先没有接到\n" +"有关的命令，但看到大批盛装的官员来临，也就\n" +"以为确系举行大典，因而未加询问。进大明门即\n" +"为皇城。文武百官看到端门午门之前气氛平静，\n" +"城楼上下也无朝会的迹象，既无几案，站队点名\n" +"的御史和御前侍卫“大汉将军”也不见踪影，不免\n" +"心中揣测，互相询问：所谓午朝是否讹传？";System.out.println("\r明文：\r\n" + str);System.out.println("\r明文大小：\r\n" + str.getBytes().length);String encodedData = RSAUtils.publicEncrypt(str, RSAUtils.getPublicKey(publicKey));System.out.println("密文：\r\n" + encodedData);String decodedData = RSAUtils.privateDecrypt("X4hHPa9NjPd5QJGPus+4+hWmOzbWg7oCJ1+Vc+7dHW81nEhkYnJpFyV5xcDkg70N2Mym+YAJ1PvYY9sQWf9/EkUE61TpUKBmDaGWLjEr3A1f9cKIelqLKLsJGdXEOr7Z55k4vYFvA7N3Vf5KQo3NrouvIT4wR+SjH4tDQ8tNh3JH8BvXLtXqGa2TCK2z1AzHNgYzcLCrqDasd7UDHRPZPiW4thktM/whjBn0tU9B/kKjAjLuYttKLEmy5nT7v7u16aZ6ehkk+kzvuCXF%2B3RsqraISDPbsTki2agJyqsycRx3w7CvKRyUbZhFaNcWigOwmcbZVoiom+ldh7Vh6HYqDA==", RSAUtils.getPrivateKey(privateKey));System.out.println("解密后文字: \r\n" + decodedData);}
}
/*** 私钥输入参数（其实就是客户端通过服务端返回的公钥加密后的客户端自己生成的公钥）*/
public class KeyRequest {/*** 客户端自己生成的加密后公钥*/@NotNullprivate String clientEncryptPublicKey;public String getClientEncryptPublicKey() {return clientEncryptPublicKey;}public void setClientEncryptPublicKey(String clientEncryptPublicKey) {this.clientEncryptPublicKey = clientEncryptPublicKey;}
}
/*** RSA生成的公私钥输出参数*/
public class RSAResponse extends BaseResponse{private String serverPublicKey;private String serverPrivateKey;public static class Builder{private String serverPublicKey;private String serverPrivateKey;public Builder setServerPublicKey(String serverPublicKey){this.serverPublicKey = serverPublicKey;return this;}public Builder setServerPrivateKey(String serverPrivateKey){this.serverPrivateKey = serverPrivateKey;return this;}public RSAResponse build(){return new RSAResponse(this);}}public static Builder options(){return new Builder();}public RSAResponse(Builder builder){this.serverPrivateKey = builder.serverPrivateKey;this.serverPublicKey = builder.serverPublicKey;}public String getServerPrivateKey() {return serverPrivateKey;}public String getServerPublicKey() {return serverPublicKey;}
}
/*** 私钥输出参数*/
public class KeyResponse extends BaseResponse{/*** 整个系统所有加密算法共用的密钥*/private String key;public static class Builder{private String key;public Builder setKey(String key){this.key = key;return this;}public KeyResponse build(){return new KeyResponse(this);}}public static Builder options(){return new Builder();}private KeyResponse(Builder builder){this.key = builder.key;}public String getKey() {return key;}}
/*** API传输加解密相关接口*/
public interface EncryptOpenService {/*** 生成RSA公私钥* @return*/SingleResult<RSAResponse> getRSA();/*** 获得加解密用的密钥* @param request* @return*/SingleResult<KeyResponse> getKey(KeyRequest request) throws Exception;
}

@Service
public class EncryptOpenServiceImpl implements EncryptOpenService{@Value("${rsa.publicKey}")private String publicKey;@Value("${rsa.privateKey}")private String privateKey;@Value("${api.encrypt.key}")private String key;@Overridepublic SingleResult<RSAResponse> getRSA() {RSAResponse response = RSAResponse.options().setServerPublicKey(publicKey).build();return SingleResult.buildSuccess(response);}@Overridepublic SingleResult<KeyResponse> getKey(KeyRequest request)throws Exception {String clientPublicKey = RSAUtils.privateDecrypt(request.getClientEncryptPublicKey(), RSAUtils.getPrivateKey(privateKey));String encryptKey = RSAUtils.publicEncrypt(key,RSAUtils.getPublicKey(clientPublicKey));KeyResponse response = KeyResponse.options().setKey(encryptKey).build();return SingleResult.buildSuccess(response);}
}
@RestController
@RequestMapping("open/encrypt")
public class EncryptController {@Autowiredprivate EncryptOpenService encryptOpenService;@RequestMapping(value = "getRSA",method = RequestMethod.POST)//@DisabledEncryptpublic SingleResult<RSAResponse> getRSA(){return encryptOpenService.getRSA();}@RequestMapping(value = "getKey",method = RequestMethod.POST)//@DisabledEncryptpublic SingleResult<KeyResponse> getKey(@Valid @RequestBody KeyRequest request)throws Exception{return encryptOpenService.getKey(request);}
}

接口请求的合法性校验

对于一些隐私接口（即必须要登录才能调用的接口），我们需要校验其合法性，即只有登录用户才能成功调用，具体思路如下：
1、调用登录或注册接口成功后，服务端会返回token（设置较短有效时间）和refreshToken（设定较长有效时间）
2、隐私接口每次请求接口在请求头带上token如header(“token”,token)，若服务端返回403错误，则调用refreshToken接口获取新的token重新调用接口，若refreshToken接口继续返回403，则跳转到登录界面。
这种算法较为简单，这里就不写出具体实现了。
由于篇幅问题，剩余方式下篇会继续介绍，敬请期待！

前后端分离架构中的接口安全(上篇)相关推荐

vue 新建的页面如何访问_Vue.js—实现前后端分离架构中前端页面搭建（四）（完）...
[Vue.js实现前后端分离架构中前端页面搭建] 二十.实现服务端登录业务前提:已经有单机版Eureka,端口8761.启动开Eureka 1. 新建父项目新建backend_parent. 为了 ...
vue click事件_Vue.js---实现前后端分离架构中前端页面搭建（二）
[Vue.js实现前后端分离架构中前端页面搭建] 九.Vue的事件处理 Vue的事件都是使用 v-on:事件类型进行绑定.也可以使用@事件类型进行操作.其中事件类型和之前学习jQuery中事件名称是 ...
前后端分离架构一直没机会实战？1周完成Vue+Core WebApi移动商城实战(含源码)！...
疫情让企业受到重创! 就业形势更加严峻! 前后端分离架构成了当下最高频的招聘需求还没实战过前后端分离? 花3分钟阅读本文, 带你全面了解前后端分离,轻松面试拿高薪! Web发展至今技术非常成熟,主流 ...
若依前后端分离如何写移动端接口_前后端分离架构概述
1.背景 2.未分离时代(各种耦合) 3.半分离时代 4.分离时代 5.总结 <Netty 实现原理与源码解析 -- 精品合集> <Spring 实现原理与源码解析 -- 精品合集& ...
前后端分离架构：Web 实现前后端分离，前后端解耦
你知道的越多,不知道的就越多,业余的像一棵小草! 你来,我们一起精进!你不来,我和你的竞争对手一起精进! 编辑:业余草 blog.csdn.net/fuzhongmin05 推荐:https://ww ...
前后端分离架构，MVVM
前后端分离架构前后端分离已经成为互联网项目业界开发的标准使用方式,通过nginx+tomact的方式有效进行解耦,并且前后端分离会为以后的大型分布式框架,弹性计算架构,微服务架构,多段化服务(多 ...
spring boot+iview 前后端分离架构之前后端交互的实现（六）
spring boot 与 iview 前后端分离架构之前后端交互的实现(六) axios的跨域访问工具的封装实现实现前后端交互-后端的实现实现前后端交互-前端的实现 bug修复 mysql的ma ...
大型医院云HIS系统：采用前后端分离架构，前端由Angular语言、JavaScript开发；后端使用Java语言开发融合B/S版电子病历系统
一套医院云his系统源码采用前后端分离架构,前端由Angular语言.JavaScript开发:后端使用Java语言开发.融合B/S版电子病历系统,支持电子病历四级,HIS与电子病历系统均拥有自主知 ...
JavaWeb前后端分离架构
目录 JavaWeb前后端分离架构前后分离的优势在本机中部署项目关于验证 Cookie & Session Token & JWT token验证流程 JWT的构成 JWT搭建使 ...

前后端分离架构中的接口安全(上篇)

HTTP VS HTTPS

动态密钥的获取

接口请求的合法性校验

前后端分离架构中的接口安全(上篇)相关推荐

最新文章

热门文章