Api接口加密策略

接口安全要求：

1.防伪装攻击（案例：在公共网络环境中，第三方 有意或恶意 的调用我们的接口）

2.防篡改攻击（案例：在公共网络环境中，请求头/查询字符串/内容 在传输过程被修改）

3.防重放攻击（案例：在公共网络环境中，请求被截获，稍后被重放或多次重放）

4.防数据信息泄漏（案例：截获用户登录请求，截获到账号、密码等）

设计原则：

1.轻量级

2.适合于异构系统（跨操作系统、多语言简易实现）

3.易于开发

4.易于测试

5.易于部署

6.满足接口安全需求（满足接口安全1,2,3），无过度设计。

其它：接口安全要求防数据信息泄漏部分，主要针对目前用户中心的登录接口

设计原则是：使用HTTPS安全协议 或 传输内容使用非对称加密，目前我们采用的后者。

适用范围：

1.所有写操作接口（增、删、改 操作）

2.非公开的读接口（如：涉密/敏感/隐私 等信息）

接口参数签名 实现思路参考：

必要的输入参数：

签名算法过程：

1.对除签名外的所有请求参数按key做的升序排列,value无需编码。 （假设当前时间的时间戳是12345678）

例如：有c=3,b=2,a=1 三个参，另加上时间戳后， 按key排序后为：a=1，b=2，c=3，_timestamp=12345678。

2 把参数名和参数值连接成字符串，得到拼装字符：a1b2c3_timestamp12345678

3 用申请到的appkey