在看下面文章之前，我們先問幾個問題
- rest 服務為什么需要簽名?
- 簽名的幾種方式?
- 我認為的比較方便的快捷的簽名方式（如果有大神持不同意見，可以交流！）?
- 怎么實作驗簽程序 ?
- 開放式open api sign怎么設計 (openkey 和 openid 的設計) ?
- 在一個服務中，有些介面不需要簽名,介面怎么濾過簽名 ?
我認為好的簽名設計，應該要解決以上問題，
一： Rest 服務為什么需要簽名？
在介紹簽名之前，我們先對服務進行分一分，我們的服務從內網以及外網角度分為：內網服務以及開放型外網服務兩大類
- 內網服務，我們認為它是可靠安全，受局域網的防火墻保護，內網型的服務，我們不開放出INTERNET 訪問，
- 暴露在外網型的服務，我們認為是它本質是提供到INTERNET 網路允許訪問的服務，我們認為它是不可靠的，不安全的，
外網型的服務，我們通常面臨兩個問題：收到惡意請求和資料安全（如果你不是通過SSL走的話） 的問題，
在惡意請求方面，又涉及到惡意高頻請求以及資料攔截竄篡改請求，
資料安全方面涉及到，網路傳輸的資料如果被攔截，涉及到客戶隱私資料被竊取等相關問題，
因此，為了解決上述問題，偉大的 服務 “簽名” 就誕生了， 你可以這么認為：簽名 就是 請求當前業務介面的 前提鑰匙，通過軟實施實作，
簽名如何解決上述問題：
- 惡意請求： 我們知道，簽名在設計上面具有防篡改性質，如果這一點沒有實作，那么就會失去簽名的意義，被攔截的請求，修改請求報文后，再次發送，將會被服務端 驗簽 程序中 檢測到，直接打回--我們通常說是驗簽失敗
- 客戶隱私：客戶隱私資料的保護，加簽后的介面，只能請求當前的相同請求報文的請求，而不能嘗試請求被篡改后報文的請求，如果資料被攔截，也只能是當前此條資料客戶隱私被泄露，因此，如果要絕對的保護客戶隱私的話，還有對報文資料進行加密，這樣，我們就可以做到資料安全級別較高的介面，下面的文章將對具體實作程序展開，
- 高頻請求的保護，如果簽名產生的uuid 加上 時間戳，就可以解決高頻請求的容錯限流等問題.
因此簽名尤其變為重要，
我上面的標題，如果你的介面不走SSL的話，你的外網介面就需要走上述這些事情，為了你介面安全而考慮，
二：簽名的幾種方式
簽名的幾種方式：我們通常見到的有 SHA 加密簽名，MD5 簽名，我個人比較推崇的是 MD5 加簽簽名，
原因：簡單，易懂，跨語言平臺型強，通用性強，尤其是.NET 與 JAVA 跨語言的的介面簽名對接時，因為JAVA 的 SHA 版本有很多中，而更甚的是，有些 SHA 在某些銀行還被改過，形成自己私有的版本，如果：
你要對接他們的 他們的介面，你必須使用JAVA 語言. 然而 MD5 的演算法比較統一，只要 確認 對方的最簡單的 字串 123 MD5 值跟 你 這邊的 MD5 值一樣，就可以保證 底層演算法 的一致 性，就 可以采用上述的加簽方式，
MD5 加簽原理：
我們假設有這么一個統一入參結構的請求報文
|
請求物件協議結構 |
型別 |
說明 |
|
object |
object |
說明：請求的業務引數（包裝物件），各介面不同的引數 二：包裝物件中物體中特殊業務欄位中的具體格式要求： ① 如果業務物件引數是時間型別的, 將時間引數轉成時間戳（當前時間與'1970-01-01'精確到毫秒,型別Long） ② 業務中的浮點型使用字串定義傳送（避免不同跨語言造成序列化形成的浮點位數不一致性） |
|
time |
long |
當前時間的時間戳：datekong（當前時間與'1970-01-01'相對值,精確到毫秒） |
|
sign |
string |
sign=MD5(openkey+ time+ JsonConvert.SerializeObject(object)) 備注：OpenKey： 分配給呼叫方的key值，此值無需暴露在網路中傳輸，
|
在我們構建傳送報文的時候，我們看到有一個欄位： sign 是 由 服務方分配給客戶端一個 秘鑰字串 再加上 報文中 ( time 時間戳+ objcet 業務參序列化）相加后的字串 后 MD5值，
我們這里 sign 的形成有兩個關鍵點：
第一： sign 值形成的演算法,我這邊演算法暫時是 :sign= MD5(openkey+ time+ JsonConvert.SerializeObject(object))
第二： sign 分配給客戶端的秘鑰值—openkey
如下加簽請求偽代碼：
1 namespace T.API 2 { 3 4 5 /// <summary> 6 /// 請求的報文物件 7 /// </summary> 8 public class SendObject 9 { 10 /// <summary> 11 /// 發送物體物件 12 /// </summary> 13 public object @object { get; set; } 14 15 /// <summary> 16 /// 簽名 17 /// </summary> 18 19 public string sign { get; set; } 20 /// <summary> 21 /// 當前請求的時間戳 22 /// </summary> 23 public long? time { get; set; } 24 25 /// <summary> 26 /// 用戶id 27 /// </summary> 28 public int userId { get; set; } 29 } 30 31 /// <summary> 32 /// 接收到的報文物件 33 /// </summary> 34 public class ReciveObject 35 { 36 /// <summary> 37 /// 發送物體物件 38 /// </summary> 39 public object @object { get; set; } 40 41 /// <summary> 42 /// 服務請求回應值 code 為 1：請求成功 ,請求無例外 43 /// 當code 為 "1" 的情況下，下面的RevRep 物件中的 message 欄位 90% 的場景為空， 44 /// 如果有必要賦值視雙方業務場景而定； 45 /// code為 0：我方程式例外/業務性質失敗/介面引數校驗失敗， 46 /// 當 code 為 "0"的情況下，下面message欄位包裝了例外/失敗資訊， 47 /// </summary> 48 49 public int code { get; set; } 50 51 52 /// <summary> 53 /// 請求回應的錯誤訊息/或者其他業務場景回應提示資訊 54 /// </summary> 55 public int message { get; set; } 56 } 57 58 59 /// <summary> 60 /// 上面 Req 物件中的object 封裝欄位具體物體定義 61 /// </summary> 62 public class ObjectEntity 63 { 64 65 public string orderNum { get; set; } 66 67 /// <summary> 68 /// 如果引數是浮點型，在物體中定義成字串型別. 69 /// </summary> 70 public string orderMoney { get; set; } 71 72 /// <summary> 73 /// 如果引數是時間型別的，在物體中定義成long 時間戳型別 74 /// </summary> 75 public long? orderTime { get; set; } 76 } 77 78 79 80 81 /// <summary> 82 /// 請求示例代碼 83 /// </summary> 84 public class RequestDemo 85 { 86 87 /// <summary> 88 /// 請求示例,呼叫方請求 89 /// </summary> 90 91 public static void Request() 92 { 93 94 //服務端分配給呼叫方：openkey 95 string openKey = "455853655-7dff-5585545-a1c3-7778887"; // 96 97 //定義發送物件 98 SendObject sendobject = new SendObject(); 99 //定義請求時間戳 100 long? reqtime= DateTime.Now.ToSafeDateTime().ToSafeDataLong();// 賦值 101 sendobject.time = reqtime; 102 try 103 { 104 //定義以及賦值業務物體 105 ObjectEntity objectEntity = new ObjectEntity(); 106 objectEntity.orderNum = "20200506071001"; 107 objectEntity.orderTime = DateTime.Now.ToSafeDateTime().ToSafeDataLong(); 108 objectEntity.orderMoney = "526.00"; 109 110 //將定義好的業務物體塞入SendObject的object欄位中. 111 sendobject.@object = objectEntity; 112 113 //加簽并且賦值簽名 114 sendobject.sign = sign(reqtime, openkey,JsonConvert.SerializeObject(sendobject.@object)); 115 116 117 RestRequest rq = new RestRequest(Method.POST); 118 119 rq.Method = Method.POST; //請求設定為POST 120 121 rq.AddHeader(" Content-Type", "application/json;charset=utf-8"); //頭部塞入Content-Type 122 rq.AddParameter("application/json", JsonConvert.SerializeObject(sendobject), ParameterType.RequestBody); 123 124 125 RestClient restclient = new RestClient { BaseUrl = new Uri("http://xx.xx.xx.xx:5021") }; //呼叫地址 126 TaskCompletionSource<IRestResponse> tcs = new TaskCompletionSource<IRestResponse>(); 127 restclient.ExecuteAsync(rq, r => 128 { 129 tcs.SetResult(r); 130 }); 131 IRestResponse respones = tcs.Task.Result; // 請求回傳的資料 132 133 //如果請求狀態正常 134 if ((int)respones.StatusCode == 200) 135 { 136 ReciveObject recive = JsonConvert.DeserializeObject<ReciveObject>(respones.Content); 137 if (recive.code == 1) 138 { 139 //處理業務 140 } 141 else 142 { 143 //處理業務 144 } 145 146 147 148 } 149 else 150 { 151 throw new Exception("呼叫例外通訊狀態:${respones.StatusCode}"); 152 153 } 154 155 156 157 158 159 160 } 161 catch (Exception ex) 162 { 163 164 } 165 166 } 167 168 169 /// <summary> 170 /// Md5 方法 171 /// </summary> 172 public static string MD5(string md5orgincontent) 173 { 174 175 string md5result = string.Empty; 176 if (string.IsNullOrEmpty(md5result)) return md5result; 177 StringBuilder sb = new StringBuilder(); 178 179 MD5 md5 = new MD5CryptoServiceProvider(); 180 byte[] s = md5.ComputeHash(Encoding.UTF8.GetBytes(md5orgincontent)); 181 md5.Clear(); 182 for (int i = 0; i < s.Length; i++) 183 { 184 sb.Append(s[i].ToString("x2")); 185 } 186 md5result=sb.ToString(); 187 return md5result; 188 189 190 } 191 192 193 /// <summary> 194 /// 加簽 195 /// </summary> 196 /// <param name="time">時間戳</param> 197 /// <param name="openkey">服務端分配給呼叫方：openkey</param> 198 /// <param name="szobject">參與加簽的object的json序列化字串</param> 199 /// <returns></returns> 200 public static string sign(long? time, string openkey, string szobject) 201 { 202 203 204 string signresult = string.Empty; 205 var signcontent = openkey+time.ToSafeString()+szobject; 206 signresult = MD5(signcontent); 207 return signresult; 208 209 } 210 211 212 213 214 } 215 216 }View Code
服務端驗簽原理：
服務端通過 服務端定義介面攔截器或者全域過攔截器， 介面接收到的報文是上述表格的報文結構后，做如下事情
1: 同樣：接攔截器中，做同樣的事情： 秘鑰字串 再加上 報文傳送過來的 ( time 時間戳+ objcet 業務參序列化）相加后的字串 MD5值 ，我將此值 為 service_sign
2：將服務端的 service_sign 值跟 報文中的 sign 進行比對，如果發現不匹配（假設在雙方演算法一直，openkey 一致的情況下）：報文被篡改，簽名驗證不通過
我在這里貼出服務端驗簽 C# 代碼：其他語言可以參考：
- 服務端先定義一個接收報文的物件：
1 [JsonObject(MemberSerialization.OptIn)] 2 public class ResultRequset : BaseRequestEntity 3 { 4 [JsonProperty] 5 public object @object { get; set; } 6 public virtual string openKey{ get; set; } 7 /// <summary> 8 /// 服務端加簽:此值將于傳送過來的 sign 值最終進行比對/// </summary> 9 public override string checkedSign 10 { 11 get 12 { 13 var orgin =this.time.ToString() + openKey+ JsonConvert.SerializeObject(@object); 14 return EntitySign.To32Md5(orgin); 15 } 16 } 17 18 /// <summary> 19 /// 簽名驗證 20 /// </summary> 21 /// <returns></returns> 22 public Result CheckedSign() 23 { 24 Result r = new Result(); 25 if (this.sign == checkedSign) 26 { 27 r.code = 1; 28 return r; 29 } 30 else 31 { 32 r.code = 0; 33 r.message = "延簽失敗！"; 34 } 35 return r; 36 }
View Code - 然后構建一個攔截器，攔截器的作業如下所示 NETFramework 代碼，其他語言可以參考：
1 public class OpenSignAttribute : ActionFilterAttribute 2 { 3 public Type RequestType { get; set; } 4 5 public override void OnActionExecuting(HttpActionContext actionContext) 6 { 7 HttpContent content = actionContext.Request.Content; 8 var gloablkey = string.Empty; 9 ResultRequset resultRequset = new ResultRequset(); 10 foreach (KeyValuePair<string, object> obj in actionContext.ActionArguments) 11 { 12 13 resultRequset = (ResultRequset)obj.Value; //第一步：獲取報文資料,強制轉換到 上面定義的 ResultRequset 報文接收物件 14 } 15 Result re = resultRequset.CheckedSign(); //第二步： 服務端進行加簽并且驗簽 16 if (re.code == 1) 17 { 18 base.OnActionExecuting(actionContext); 19 } 20 else 21 { 22 actionContext.Response = actionContext.Request.CreateResponse(HttpStatusCode.BadRequest, re); 23 } 24 } 25 }
View Code
- 我們看一下介面定義- 給 介面 打上 OpenSign 標簽，并且使用 ResultRequset 來接收對方過來的報文資料，
1 [HttpPost] 2 3 [OpenSign] 4 public ResultRequset test([FromBody]ResultRequset obj) 5 { 6 7 }
View Code
上述我們基本上形成了 MD5 加簽和驗簽的邏輯程序，那么上述的這這個程序還是有個缺陷，就是文章一開頭要解決的一個問題，開放式open api sign怎么設計 (openkey 和 openid 的設計) ?
也就是說：上述的 demo 的openkey 在是死的，如果我們想 服務端分配給每個呼叫方的openkey 都不一樣，怎么辦？
其實原理很簡單：我們在增加一個 openid 概念：openid 是服務端分配給對呼叫方的唯一標識，openkey 是我們分配呼叫方參與加簽的 鑰匙，
怎么做呢：
1：呼叫方： openid 一定要讓對方 放入 HTTP HEADER 里面 傳送到服務端，openkey 是參與加密，不需要傳送，
2：服務端：在接收到 呼叫方 傳送過來的 openid后，通過查庫或者其他方式 查出 openid 對應的 openkey, 然后將查到的openkey 參與服務端驗簽演算法，
上述原理，也就是我們通常看到的ALI，騰訊，或者其他第三方提供出來的 API 為什么需要分配一個OPENID,OPENKEY 的原因，或許有些廠商不是這種叫法，但是原理都是這樣，
在貼出改造代碼之前，我們還需要解決一個問題：就是 服務端在“接收到 呼叫方 傳送過來的 openid后，通過查庫或者其他方式 查出 openid 對應的 openkey, 然后將查到的openkey 參與服務端驗簽演算法” 這里的藍色字體標注的具體怎么查，這對
openid，openkey 配置對 怎么配置在服務端（有可能存庫，有可能放在組態檔中）可能每個服務端都不太一樣，我們把這層也抽象出來，讓介面標簽指定，
我們代碼再次改造，如下所示：
- 我們先定義一個查找方式的介面：
1 public interface ISingSecret 2 { 3 string OpenId(Microsoft.AspNetCore.Http.HttpRequest request =null); 4 5 string OpenKey(string OpenId); 6 }
View Code
- 服務端接收物件改造：
1 [JsonObject(MemberSerialization.OptIn)] 2 public class ResultRequset 3 { 4 [JsonProperty] 5 public object @object { get; set; } 6 7 8 /// <summary> 9 /// 可以覆寫此KEY的方式 10 /// </summary> 11 public virtual string openKey{ get; set; } 12 /// <summary> 13 /// 開放平臺所使用的分配給客戶的OPENID 14 /// </summary> 15 [JsonProperty] 16 public string openId 17 { 18 19 get; 20 21 set; 22 } 23 /// <summary> 24 /// 獲取簽名 25 /// </summary> 26 public override string checkedSign 27 { 28 get 29 { 30 var orgin = singContent; 31 32 return EntitySign.To32Md5(orgin); 33 } 34 } 35 36 37 /// <summary> 38 /// 用戶ID 登入人ID 39 /// </summary> 40 [JsonIgnore] 41 public string singContent 42 { 43 get { return openKey+ this.time.ToString() + JsonConvert.SerializeObject(@object); } 44 }/// <summary> 45 /// 簽名驗證 46 /// </summary> 47 /// <returns></returns> 48 public Result CheckedSign() 49 { 50 Result r = new Result(); 51 52 if (this.sign == checkedSign) 53 { 54 r.code = 1; 55 return r; 56 } 57 else 58 { 59 r.code = 0; 60 61 r.message = "簽名驗證失敗！"; 62 LogService.Default.Debug("簽名驗證失敗---"+"框架簽名" + checkedSign.ToSafeString("")+"-------網路簽名:"+ sign.ToSafeString("") + "--------簽名資訊:" + singContent); 63 } 64 return r; 65 } 66 }
View Code
- 服務端攔截器改造：
1 [AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, Inherited = true, AllowMultiple = true)] 2 public class CentralSign: ActionFilterAttribute 3 { 4 5 6 7 private Type ISingRealization { get; set; } 8 9 private ISingSecret singRealization { get; set; } //關鍵代碼：由服務端實作通過openid 查出openkey 的具體邏輯. 10 11 public CentralSign(Type ISingSecret) // 關鍵代碼： 定義帶建構式的 介面標簽屬性 . 12 { 13 this.ISingRealization = ISingSecret; 14 if (ISingRealization != null) 15 { 16 //獲取類的初始化引數資訊 17 ConstructorInfo obj = ISingRealization.GetConstructor(System.Type.EmptyTypes); 18 singRealization = (ISingSecret)Activator.CreateInstance(ISingRealization); //實體化物件 19 20 } 21 } 22 23 public override void OnActionExecuting(ActionExecutingContext actionContext) 24 { 25 var content = actionContext.HttpContext.Request; 26 var gloablkey = string.Empty; 27 28 ResultRequset resultRequset = new ResultRequset(); 29 foreach (KeyValuePair<string, object> obj in actionContext.ActionArguments) 30 { 31 resultRequset = (ResultRequset)obj.Value; 32 } 33 34 35 Result re = new Result(); 36 if (resultRequset == null) 37 { 38 re.code = 0; 39 re.message = "傳值不能為空"; 40 actionContext.HttpContext.Response.StatusCode = (int)HttpStatusCode.BadRequest; 41 actionContext.HttpContext.Response.WriteAsync(JsonConvert.SerializeObject(re)); 42 43 } 44 else 45 { 46 if (singRealization != null) 47 { 48 var openId = singRealization.OpenId(actionContext.HttpContext.Request); // 關鍵代碼： 通過 ISingSecret.OpenId() 方法，獲取到對應呼叫方傳送過來的 openid 49 50 resultRequset.publicApikey = singRealization.OpenKey(openId); // 關鍵代碼： 通過 ISingSecret.OpenId() 方法，獲取到對應呼叫方傳送過來的 openid 51 52 } 53 re = resultRequset.CheckedSign(); 54 if (re.code == 1) 55 { 56 base.OnActionExecuting(actionContext); 57 } 58 else 59 { 60 61 HandleUnauthorizedRequest(actionContext); 62 63 } 64 } 65 66 67 } 68 69 protected void HandleUnauthorizedRequest(ActionExecutingContext actionContext) 70 { 71 var r = new JsonResult("簽名失敗,訪問受限."); 72 73 r.StatusCode = (int)HttpStatusCode.BadRequest; 74 actionContext.Result =r; 75 return; 76 } 77 }
View Code
- 服務端介面定義改造：
1 [HttpPost] 2 [CentralSign(typeof(OpenSign))] 3 public Result SignatureSample([FromBody]ResultRequset result) 4 { 5 var str = [email protected](""); 6 Result re = new Result() { code = 1,message="簽名驗證成功！"}; 7 re.@object = str; 8 return re; 9 }
View Code上面介面定義 打上了 [CentralSign(typeof(OpenSign))] 標簽，CentralSign 接收了一個 OpenSign Type 物件型別，根據上面的代碼，我們知道，OpenSign 實作了 ISingSecret 邏輯，我們具體看下 OpenSign 具體實作：
- OpenSign 實作 ISingSecret 邏輯代碼：
1 public class OpenSign : ISingSecret 2 { 3 public string OpenId(HttpRequest request) 4 { 5 return Header.GetHeaderValue(request,"openId"); 6 } 7 8 public string OpenKey(string OpenId) 9 { 10 return ConfigManage.JsonConfigMange.GetInstance().AppSettings[OpenId]; 11 } 12 }
View Code
這樣我們就整體上完成了我們所需要的 框架性 服務介面簽名認證代碼， 上面的代碼 在Bitter.Frame 框架 服務簽名模塊中有, Bitter.Frame 代碼還在整理中 ，后續會貼出來給大家，
轉載請註明出處，本文鏈接：https://www.uj5u.com/net/253748.html
標籤：.NET Core
上一篇：到底該不該使用存盤程序