web安全优化

接口地址隐藏

在进行接口访问之前没有实际的接口地址，接口地址是动态变化的，前端在访问指定接口前先去获取接口的动态地址，然后根据获取的地址去访问真正的接口。

1. 获取动态路径接口，将生成的路径进行缓存，等待在真正接口中取出进行校验
    @RequestMapping(value = "/getSecondKillPath",method = RequestMethod.GET)
    @ResponseBody
    @NeedLogin
    public Result<String> getSecondKillPath(SecondKillUser user,long goodsId){
        String str = MD5Utils.md5(UUIDUtil.uuid()) + "8866";
        // 将获得的路径缓存到redis，然后在真正的接口中校验path，一致才能够访问真正的接口
        jedisUtils.set(SecondKillKey.getSecondKillPath,user.getId()+"_"+goodsId,str);
        return Result.success(str);
    }

2. 真正需要访问的接口:这里需要将参数中的path和缓存中的path进行校验，
参数需要加上@PathVariable注解
    @RequestMapping(value = "{path}/real_path",method = RequestMethod.POST)
    @ResponseBody
    @NeedLogin
    public Result<Integer> toList2(Model model, SecondKillUser user, long goodsId,
                                   @PathVariable("path") String path) {

        if (!checkPath(user, goodsId, path)){
            // 请求非法
            return Result.error(CodeMsg.REQUEST_ILLEGAL);
        }
        // todo 业务逻辑处理
        return Result.success(0);
    }

复制代码

验证码

作用 :

1. 防止机器人恶意刷接口
2. 分担瞬间的流量，将瞬间的并发量分散到几秒中的一个时间内

接口限流防刷

对我们的接口进行压测，预估接口的并发量，然后对用户进行限制，防止用户恶意刷我们的系统