API接口设计的18条规范

API接口设计的18条规范

签名

目的：防止数据被篡改

实现方法：

1. 接口请求方将请求参数、时间戳和密钥拼接成一个字符串
2. 使用MD5等hash算法生成签名sign
3. 在请求参数或请求头中增加sign参数，传递给API接口
4. API接口网关服务验证传递的sign值，与自己生成的sign值对比，若相等则认为是有效请求

时间戳的作用：防止同一次请求被反复利用，增加密钥未破解的可能性，每次请求设置合理的过期时间，如15分钟。

加密

目的：保护敏感数据，如密码、银行卡号等

实现方法：

1. 使用AES对称加密算法
2. 在前端使用公钥加密用户密码
3. 在注册接口中使用密钥解密并做相关校验

加密方式的选择有很多，如AES, RSA等等，可以根据自己实际需要选择合适的加密方式。

IP白名单

目的：防止恶意请求
实现方法：

1. 限制请求IP
2. 添加IP白名单在API网关服务上
3. 防止内部服务器被攻破，需增加WAF (web防火墙软件，如ModSecurity、OpenWAF等)

限流

目的：限制单位时间内用户的请求数量，防止API接口被频繁调用导致服务不可用。
实现方法：

1. 对请求IP、请求接口、请求用户做限流
2. 使用nginx，redis,gateway ,sentinel 等技术实现限流功能

请求方式

目的：根据实际业务，选择合适的请求方式，如restful风格或自定义风格等等，怎么合适怎么来

具体方法：

1. 不建议让前端做主选择api请求方式，（之前遇到过不靠谱的前端非要求后端把一个删除接口从delete请求改成get接口，争论几番后原来是他不太会用axios就给后端找事）
2. 个人建议，如果是非常简单的CRUD业务，可以使用restful风格，如 查询/分页接口用GET ，添加/新增接口POST ，修改/更新接口用PUT ，删除接口用 DELETE
3. 遇到一些特殊的业务接口，如发布按钮，用POST请求，带上时间戳和其他请求参数；
4. 再比如 前端有一个下拉框接口，下拉选择时要支持动态手输新增item （可以参考elementUI中的下拉框组件高级特性），这个时候对后端就有高要求了，要一个接口既支持返回arraylist ,也支持传入一个新item值，当前端没传item值，返回现有的arraylist,当前端输入了一个item值，后端先添加这个item值到数据库，再执行查询返回最新的arraylist给前端，这个后端逻辑不难，但是要注意得用POST接口实现，来标识该接口所做的业务是非幂等的。

参数校验

目的：拦截无效请求