web项目的接口的安全设计总结，后续更新中

最近迭代比较忙，也一直没更新知识库，就把项目的系统梳理一下，项目是前后台分离的，所以后台就全部是封装的接口，前后台通过报文交换数据。这就涉及到接口的安全问题。下面就几个点来保证接口的安全性。

参考资料：
1. Web API接口 安全验证
2. API接口安全性设计
3. 如何限制用户在某一时间段多次访问接口
4. 如何设计API接口，请求接口时需要进行身份验证，防止第三方随意调用接口？
5. 通过拦截器Interceptor实现Spring MVC中Controller接口访问信息的记录

---

接口的安全校验方面我大致归纳了一下几点，按照优先顺序来说。

1.密钥校验（access-key）、授权机制(token)。
2.防止重复调用（ddos攻击）。
3.防数据篡改的加密传输。
4.权限校验（access-clientId）。
5.IP地址限制。
6.日志记录。

---

1.我把密钥校验和授权机制放在一起，是因为他们的用法，原理差不多。

a. 密钥校验

1. 设定一个密钥比如key = ‘2323dsfadfewrasa3434’。
2. 这个key 只有发送方和接收方知道。
3. 调用时，发送方，组合各个参数用密钥 key按照一定的规则(各种排序，MD5，ip等)生成一个access_key。一起post提交到API接口。
4. 接收方拿到post过来的参数以及这个access_key。也和发送一样，用密钥key 对各个参数进行一样的规则(各种排序，MD5，ip等)也生成一个access_key2。
5. 对比access_key 和access_key2 。一样。则允许操作，不一样，报错返回或者加入黑名单。

b.token授权机制：

用户使用用户名密码登录后服务器给客户端返回一个Token（通常是UUID），并将Token-UserId以键值对的形式存放在缓存服务器中。服务端接收到请求后进行Token验证，如果Token不存在，说明请求无效。

2.防止重复调用是通过在接口层加上拦截器或者加上aop来记录接口在规定时间内的调用次数。实现上用的redis缓存。具体请参考如何限制用户在某一时间段多次访问接口。

3.防止数据篡改则是用一套可以逆向的算法对客户端的原始数据进行加密，然后调用接口给的全是加密后的密文。接口用逆向算法在还原真实数据。和密钥有点类似。

4.权限校验就是在客户端的请求头里加上一个标志码。接口拿到这个这个标志码查库/从缓存拿数据看是否存在，或者是否配置了对应的权限。

5.IP地址限制则和权限校验差不多，不过一般在内网中才使用。就是拿到客户端请求头信息的ip地址，和缓存或者数据库查询该ip有没有配置上。

6.记录日志是记录所有请求的报文，以便如果出现别的问题，可以及时找到日志的来进行后续的维护。

下面是保温请求头中一般有的安全校验节点：

<ReqHead>
    <control>
        <reqId>ZHANGLF1234567<reqId>
        <reqSystem>ZHANGLF</reqSystem>
        <reqIp>127.0.0.1</reqIp>
        <reqTime>2017-09-27T19:13:35</reqTime>
    </contol>
    <serviceId>P001</serviceId>
    <clientId>001</clientId>
    <clientPasswd>password</clientPasswd>
</ReqHead>

接口设计的实现方案有两种：
1. 用拦截器拦截所有的接口请求，验证通过后才能走对应的方法。
2. 用spring的aop面向切面，给接口的controller层添加安全校验逻辑。

除了上面的设计外，我们还可以加上校验开关：安全校验开关的设置—通过具体某个接口类上的注解来决定该类是否开启安全校验。

后面我会具体这两种方案进行代码实现。这里先总结一下。明确方向。