如何写出安全的API接口（参数加密+超时处理+私钥验证+Https）- 续（附demo）

关注

转载最新推荐文章于 2026-07-02 08:18:43 发布 1.8k 阅读 AI 写同款· GEO 优化 ›

WebAPi接口安全之公钥私钥加密随着各种设备的兴起，WebApi作为服务也越来越流行。而在无任何保护措施的情况下接口完全暴露在外面，将导致被恶意请求。最近项目的项目中由于提供给APP的接口未对接口进行时间防范导致短信接口被怒对造成一定的损失，临时的措施导致PC和app的防止措施不一样导致后来前端调用相当痛苦，选型过oauth，https，当然都被上级未通过，那就只能自己写了，就很,,ԾㅂԾ,,。下面就此次的方式做一次记录。最终的效果：传输过程中都是密文，别人拿到请求串不能更改请求参数，通过接口过期时间防止同一请求串一直被调用。阅读详情

原文地址：http://www.cnblogs.com/codeon/p/6123863.html

如何写出安全的API接口（参数加密+超时处理+私钥验证+Https）- 续（附demo）

上篇文章说到接口安全的设计思路，如果没有看到上篇博客，建议看完再来看这个。

通过园友们的讨论，以及我自己查了些资料，然后对接口安全做一个相对完善的总结，承诺给大家写个demo，今天一并放出。

对于安全也是相对的，下面我来根据安全级别分析

1.完全开放的接口

有没有这样的接口，谁都可以调用，谁都可以访问，不受时间空间限制，只要能连上互联网就能调用，毫无安全可言。

实话说，这样的接口我们天天都在接触，你查快递，你查天气预报，你查飞机，火车班次等，这些都是有公共的接口。

我把这称之为裸奔时代。代码如下：

     
    
/// <summary>
        /// 接口对外公开
        /// </summary>
        /// <returns></returns>
        [HttpGet]
        [Route("NoSecure")]
        public HttpResponseMessage NoSecure(int age)
        {
            var result = new ResultModel<object>()
            {
                ReturnCode = 0,
                Message = string.Empty,
                Result = string.Empty
            };

            var dataResult = stulist.Where(T => T.Age == age).ToList();
            result.Result = dataResult;

            return GetHttpResponseMessage(result);
        }
     
    

2.接口参数加密（基础加密）

你写个接口，你只想让特定的调用方使用，你把这些调用的人叫到一个小屋子，给他们宣布说我这里有个接口只打算给你们用，我给你们每人一把钥匙，你们用的时候拿着这把钥匙即可。

这把钥匙就是我上文说到的参数加密规则，有了这个规则就能调用。

这有安全问题啊，这里面的某个成员如果哪个不小心丢了钥匙或者被人窃取，掌握钥匙的人是不是也可以来掉用接口了呢？而且他可以复制很多钥匙给不明不白的人用。

相当于有人拿到了你的请求链接，如果业务没有对链接唯一性做判断（实际上业务逻辑通常不会把每次请求的加密签名记录下来，所以不会做唯一性判断），就会被重复调用，有一定安全漏洞，怎么破？先看这个场景的代码，然后继续往下看！

     
    
/// <summary>
        /// 接口加密
        /// </summary>
        /// <returns></returns>
        [HttpGet]
        [Route("SecureBySign")]
        public HttpResponseMessage SecureBySign([FromUri]int age, long _timestamp, string appKey, string _sign)
        {
            var result = new ResultModel<object>()
            {
                ReturnCode = 0,
                Message = string.Empty,
                Result = string.Empty
            };

            #region 校验签名是否合法
            var param = new SortedDictionary<string, string>(new AsciiComparer());
            param.Add("age", age.ToString());
            param.Add("appKey", appKey);
            param.Add("_timestamp", _timestamp.ToString());

            string currentSign = SignHelper.GetSign(param, appKey);

            if (_sign != currentSign)
            {
                result.ReturnCode = -2;
                result.Message = "签名不合法";
                return GetHttpResponseMessage(result);
            }
            #endregion

            var dataResult = stulist.Where(T => T.Age == age).ToList();
            result.Result = dataResult;

            return GetHttpResponseMessage(result);
        }
     
    

3.接口参数加密+接口时效性验证（一般达到这个级别已经非常安全了）

继上一步，你发现有不明不白的人调用你的接口，你很不爽，随即把真正需要调用接口的人又叫来，告诉他们每天给他们换一把钥匙。和往常一样，有个别伙伴的钥匙被小偷偷走了，小偷煞费苦心，经过数天的踩点观察，准备在一个月黑风高的夜晚动手。拿出钥匙，捣鼓了半天也无法开启你的神圣之门，因为小偷不知道你天天都在换新钥匙。

小偷不服，经过一段时间琢磨，小偷发现了你们换钥匙的规律。在一次获得钥匙之后，不加思索，当天就动手了，因为他知道他手里的钥匙在第二天你更换钥匙后就失效了。

结果，小偷如愿。怎么破？先看这个场景的代码，然后继续往下看！