系统加密服务

系统加密服务

个人博客：https://www.baiyp.ren

需求背景

我们公司因为要紧急对系统进行安全加密，以前系统都是参数暴漏的，能够直接获取操作链接等数据，为防止系统关键数据被窃取，系统要进行全面加密，时间只有一个月，上级部门要来进行检查，因涉及到多个系统，上万个页面不能一个一个页面进行加密，特需要一套框架来支持。

需要实现的功能

• 对后端透明 后端不需要该任何代码
• 对前端透明 前端不需要或者最好不改代码
• 实现表单放重复提交
• 实现重放攻击拦截
• 实现XSS 脚本跨站攻击

实现方案

我们系统的讨论了一周时间实现方案如下

• 通过JS 监听ajax 请求和form表单请求 并对请求的数据进行加密
• 通过继承HttpServletRequestWrapper 实现参数解析以及XSS防注入
• 使用拦截器搭配注解实现表单放重复提交
• 在提交的JS中加入时间戳的方式配合拦截器和注解实现防重放攻击

总体实现方案

加密方式

• 前台数据通过JS对form表单以及AJAX数据进行加密
• 要兼容一些校验框架
• 加密数据需要加入时间戳用于后台检查是否解密成功以及其他用处
• 后台得到加密的数据进行解密
• 通过重写HttpServletRequestWrapper 和OncePerRequestFilter 来实现
• 如果是AJAX提交可能需要PYLOAD形式通过流的形式进行解析

表单防重

• 通过TOKEN形式来实现，网上很多实现，这里不多说了

XXS防跨站脚本攻击

• 通过将参数中的html代码转义来实现

对应的JS加密和Java解密的资源可以查看下载

js加密实现

Java 解密

后记