非安全传输协议前提下，Open API安全协议设计

本文考虑：在不使用安全传输协议的前提下，Open API调用的安全问题。

作者：刘海龙
微博：[http://weibo.com/liuhailong2008]
博客：[http://blog.youkuaiyun.com/stationxp]

角色定义

• 发布者：Open API的发布者。
• 调用方：Open API的调用者。

处理流程

调用方消息发送流程

1. 生成一个UUID，称为_seed。
2. 对_seed用自己的私钥签名，得到_sign，提供给发布者认证身份。
3. 对_seed用发布者的公钥加密，得到_key。
4. 使用_seed对消息_msg对称加密，得到密文_msgx。
5. 将_sign``_key``_msgx拼接，进行Base64压缩（可选），得到_body。
6. 发送_body，执行API调用。

发布者消息接收流程