SpringBoot-实现RAS+AES自动接口解密

一、讲个事故

接口安全老生常谈了

过年之前做了过一款飞机大战的H5小游戏，里面无限模式-需要保存用户的积分，因为使用的Body传参，参数是可见的，为了接口安全我，我和前端约定了传递参数是：用户无限模式的积分+“我们约定的一个数字”+用户id的和，在用Base64加密，请求到服务器我再解密，出用户无限模式的积分；如下：

{
    "integral": "MTExMTM0NzY5NQ==",
}

可是过年的时候，运营突然找我说无限模式积分排行榜分数不对：

这就很诡异了，第二名才一万多分，第一名就40多万分！！！！

一开始我以为是我解密有问题，反复看了好几变，可就两三行代码不可能有问题的！！！

没办法我去翻了好久的日志，才发现这个用户把我接口参数给改了。。。。

他把Base64接口参数改了

事已至此，我也不能怪用户，谁让我把人家想得太简单，接口安全也没到位

所以年后上班第一件是就是把接口加密的工作搞起来

目前常用的加密方式就对称性加密和非对称性加密，加密解密的操作的肯定是大家知道的，最重要的使用什么加密解密方式，制定什么样的加密策略；考虑到我技术水平和接口的速度，采用的是RAS非对称加密和AES对称加密一起用！！！！

二、RSA和AES基础知识

1、非对称加密和对称加密

非对称加密

非对称加密算法是一种密钥的保密方法。 非对称加密算法需要两个密钥：公开密钥（publickey:简称公钥）和私有密钥（privatekey:简称私钥）。 公钥与私钥是一对，如果用公钥对数据进行加密，只有用对应的私钥才能解密。 因为加密和解密使用的是两个不同的密钥，所以这种算法叫作非对称加密算法。

对称加密

加密秘钥和解密秘钥是一样，当你的密钥被别人知道后，就没有秘密可言了

AES 是对称加密算法，优点：加密速度快；缺点：如果秘钥丢失，就容易解密密文，安全性相对比较差

RSA 是非对称加密算法 ， 优点：安全 ；缺点：加密速度慢

2、RSA基础知识

RSA——非对称加密，会产生公钥和私钥，公钥在客户端，私钥在服务端。公钥用于加密，私钥用于解密。

大概的流程：

客户端向服务器发送消息： 客户端用公钥加密信息，发送给服务端，服务端再用私钥机密
服务器向客户端发送消息：服务端用私钥加密信息，发送给客户端，客户端再用公钥机密

当然中间要保障密钥的安全，还有很多为了保障数据安全的操作，比如数字签名，证书签名等等，在这我们就先不说了；

RSA加密解密算法支持三种填充模式，

分别是ENCRYPTION_OAEP、ENCRYPTION_PKCS1、ENCRYPTION_NONE，RSA填充是为了和公钥等长。

• ENCRYPTION_OAEP：最优非对称加密填充，是RSA加密和RSA解密最新最安全的推荐填充模式。

• ENCRYPTION_PKCS1：随机填充数据模式，每次加密的结果都不一样，是RSA加密和RSA解密使用最为广泛的填充模式。

• ENCRYPTION_NONE：不填充模式，是RSA加密和RSA解密使用较少的填充模式。

RSA 常用的加密填充模式

• RSA/None/PKCS1Padding

• RSA/ECB/PKCS1Padding

知识点：

• Java 默认的 RSA 实现是 RSA/None/PKCS1Padding

• 在创建RSA秘钥对时，长度最好选择 2048的整数倍，长度为1024在已经不很安全了

• 一般由服务器创建秘钥对，私钥保存在服务器，公钥下发至客户端