写点什么

SpringBoot 如何保证接口安全?老鸟们都是这么玩的!

  • 2023-02-14
    湖南
  • 本文字数:6746 字

    阅读完需:约 22 分钟

为什么要保证接口安全

对于互联网来说,只要你系统的接口暴露在外网,就避免不了接口安全问题。 如果你的接口在外网裸奔,只要让黑客知道接口的地址和参数就可以调用,那简直就是灾难。


举个例子:你的网站用户注册的时候,需要填写手机号,发送手机验证码,如果这个发送验证码的接口没有经过特殊安全处理,那这个短信接口早就被人盗刷不知道浪费多少钱了。


那如何保证接口安全呢?


一般来说,暴露在外网的 api 接口需要做到防篡改防重放才能称之为安全的接口。

防篡改

我们知道 http 是一种无状态的协议,服务端并不知道客户端发送的请求是否合法,也并不知道请求中的参数是否正确。


举个例子, 现在有个充值的接口,调用后可以给用户增加对应的余额。

http://localhost/api/user/recharge?user_id=1001&amount=10
复制代码

如果非法用户通过抓包获取到接口参数后,修改 user_id 或 amount 的值就可以实现给任意账户添加余额的目的。

如何解决

采用 https 协议可以将传输的明文进行加密,但是黑客仍然可以截获传输的数据包,进一步伪造请求进行重放攻击。如果黑客使用特殊手段让请求方设备使用了伪造的证书进行通信,那么 https 加密的内容也会被解密。


一般的做法有 2 种:

  1. 采用 https 方式把接口的数据进行加密传输,即便是被黑客破解,黑客也花费大量的时间和精力去破解。

  2. 接口后台对接口的请求参数进行验证,防止被黑客篡改;



  • 步骤 1:客户端使用约定好的秘钥对传输的参数进行加密,得到签名值 sign1,并且将签名值也放入请求的参数中,发送请求给服务端

  • 步骤 2:服务端接收到客户端的请求,然后使用约定好的秘钥对请求的参数再次进行签名,得到签名值 sign2。

  • 步骤 3:服务端比对 sign1 和 sign2 的值,如果不一致,就认定为被篡改,非法请求。

防重放

防重放也叫防复用。简单来说就是我获取到这个请求的信息之后什么也不改,,直接拿着接口的参数去 重复请求这个充值的接口。此时我的请求是合法的, 因为所有参数都是跟合法请求一模一样的。重放攻击会造成两种后果:

  1. 针对插入数据库接口:重放攻击,会出现大量重复数据,甚至垃圾数据会把数据库撑爆。

  2. 针对查询的接口:黑客一般是重点攻击慢查询接口,例如一个慢查询接口 1s,只要黑客发起重放攻击,就必然造成系统被拖垮,数据库查询被阻塞死。

对于重放攻击一般有两种做法:

基于 timestamp 的方案

每次 HTTP 请求,都需要加上 timestamp 参数,然后把 timestamp 和其他参数一起进行数字签名。因为一次正常的 HTTP 请求,从发出到达服务器一般都不会超过 60s,所以服务器收到 HTTP 请求之后,首先判断时间戳参数与当前时间比较,是否超过了 60s,如果超过了则认为是非法请求。


一般情况下,黑客从抓包重放请求耗时远远超过了 60s,所以此时请求中的 timestamp 参数已经失效了。 如果黑客修改 timestamp 参数为当前的时间戳,则 sign1 参数对应的数字签名就会失效,因为黑客不知道签名秘钥,没有办法生成新的数字签名。



但是这种方式的漏洞也是显而易见,如果在 60s 之内进行重放攻击,那就没办法了,所以这种方式不能保证请求仅一次有效。



老鸟们一般会采取下面这种方案,既可以解决接口重放问题,又可以解决一次请求有效的问题。

基于 nonce + timestamp 的方案

nonce 的意思是仅一次有效的随机字符串,要求每次请求时该参数要保证不同。实际使用用户信息+时间戳+随机数等信息做个哈希之后,作为 nonce 参数。


此时服务端的处理流程如下:

  1. 去 redis 中查找是否有 key 为 nonce:{nonce} 的 string

  2. 如果没有,则创建这个 key,把这个 key 失效的时间和验证 timestamp 失效的时间一致,比如是 60s。

  3. 如果有,说明这个 key 在 60s 内已经被使用了,那么这个请求就可以判断为重放请求。



这种方案 nonce 和 timestamp 参数都作为签名的一部分传到后端,基于 timestamp 方案可以让黑客只能在 60s 内进行重放攻击,加上 nonce 随机数以后可以保证接口只能被调用一次,可以很好的解决重放攻击问题。

代码实现

接下来以 SpringBoot 项目为例看看如何实现接口的防篡改和防重放功能。

1、构建请求头对象

@Data@Builderpublic class RequestHeader {   private String sign ;   private Long timestamp ;   private String nonce;}
复制代码

2、工具类从 HttpServletRequest 获取请求参数

@Slf4j@UtilityClasspublic class HttpDataUtil {    /**     * post请求处理:获取 Body 参数,转换为SortedMap     *     * @param request     */    public  SortedMap<String, String> getBodyParams(final HttpServletRequest request) throws IOException {        byte[] requestBody = StreamUtils.copyToByteArray(request.getInputStream());        String body = new String(requestBody);        return JsonUtil.json2Object(body, SortedMap.class);    }    /**     * get请求处理:将URL请求参数转换成SortedMap     */    public static SortedMap<String, String> getUrlParams(HttpServletRequest request) {        String param = "";        SortedMap<String, String> result = new TreeMap<>();        if (StringUtils.isEmpty(request.getQueryString())) {            return result;        }        try {            param = URLDecoder.decode(request.getQueryString(), "utf-8");        } catch (UnsupportedEncodingException e) {            e.printStackTrace();        }        String[] params = param.split("&");        for (String s : params) {            String[] array=s.split("=");            result.put(array[0], array[1]);        }        return result;    }}
复制代码

这里的参数放入 SortedMap 中对其进行字典排序,前端构建签名时同样需要对参数进行字典排序。

3、签名验证工具类

@Slf4j@UtilityClasspublic class SignUtil {    /**     * 验证签名     * 验证算法:把timestamp + JsonUtil.object2Json(SortedMap)合成字符串,然后MD5     */    @SneakyThrows    public  boolean verifySign(SortedMap<String, String> map, RequestHeader requestHeader) {        String params = requestHeader.getNonce() + requestHeader.getTimestamp() + JsonUtil.object2Json(map);        return verifySign(params, requestHeader);    }    /**     * 验证签名     */    public boolean verifySign(String params, RequestHeader requestHeader) {        log.debug("客户端签名: {}", requestHeader.getSign());        if (StringUtils.isEmpty(params)) {            return false;        }        log.info("客户端上传内容: {}", params);        String paramsSign = DigestUtils.md5DigestAsHex(params.getBytes()).toUpperCase();        log.info("客户端上传内容加密后的签名结果: {}", paramsSign);        return requestHeader.getSign().equals(paramsSign);    }}
复制代码

4、HttpServletRequest 包装类

public class SignRequestWrapper extends HttpServletRequestWrapper {    //用于将流保存下来    private byte[] requestBody = null;    public SignRequestWrapper(HttpServletRequest request) throws IOException {        super(request);        requestBody = StreamUtils.copyToByteArray(request.getInputStream());    }    @Override    public ServletInputStream getInputStream() throws IOException {        final ByteArrayInputStream bais = new ByteArrayInputStream(requestBody);        return new ServletInputStream() {            @Override            public boolean isFinished() {                return false;            }            @Override            public boolean isReady() {                return false;            }            @Override            public void setReadListener(ReadListener readListener) {            }            @Override            public int read() throws IOException {                return bais.read();            }        };    }    @Override    public BufferedReader getReader() throws IOException {        return new BufferedReader(new InputStreamReader(getInputStream()));    }}
复制代码

防篡改和防重放我们会通过 SpringBoot Filter 来实现,而编写的 filter 过滤器需要读取 request 数据流,但是 request 数据流只能读取一次,需要自己实现 HttpServletRequestWrapper 对数据流包装,目的是将 request 流保存下来。

5、创建过滤器实现安全校验

@Configurationpublic class SignFilterConfiguration {    @Value("${sign.maxTime}")    private String signMaxTime;    //filter中的初始化参数    private Map<String, String> initParametersMap =  new HashMap<>();    @Bean    public FilterRegistrationBean contextFilterRegistrationBean() {        initParametersMap.put("signMaxTime",signMaxTime);        FilterRegistrationBean registration = new FilterRegistrationBean();        registration.setFilter(signFilter());        registration.setInitParameters(initParametersMap);        registration.addUrlPatterns("/sign/*");        registration.setName("SignFilter");        // 设置过滤器被调用的顺序        registration.setOrder(1);        return registration;    }    @Bean    public Filter signFilter() {        return new SignFilter();    }}
复制代码


@Slf4jpublic class SignFilter implements Filter {    @Resource    private RedisUtil redisUtil;    //从fitler配置中获取sign过期时间    private Long signMaxTime;    private static final String NONCE_KEY = "x-nonce-";    @Override    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {        HttpServletRequest httpRequest = (HttpServletRequest) servletRequest;        HttpServletResponse httpResponse = (HttpServletResponse) servletResponse;        log.info("过滤URL:{}", httpRequest.getRequestURI());        HttpServletRequestWrapper requestWrapper = new SignRequestWrapper(httpRequest);        //构建请求头        RequestHeader requestHeader = RequestHeader.builder()                .nonce(httpRequest.getHeader("x-Nonce"))                .timestamp(Long.parseLong(httpRequest.getHeader("X-Time")))                .sign(httpRequest.getHeader("X-Sign"))                .build();        //验证请求头是否存在        if(StringUtils.isEmpty(requestHeader.getSign()) || ObjectUtils.isEmpty(requestHeader.getTimestamp()) || StringUtils.isEmpty(requestHeader.getNonce())){            responseFail(httpResponse, ReturnCode.ILLEGAL_HEADER);            return;        }        /*         * 1.重放验证         * 判断timestamp时间戳与当前时间是否操过60s(过期时间根据业务情况设置),如果超过了就提示签名过期。         */        long now = System.currentTimeMillis() / 1000;        if (now - requestHeader.getTimestamp() > signMaxTime) {            responseFail(httpResponse,ReturnCode.REPLAY_ERROR);            return;        }        //2. 判断nonce        boolean nonceExists = redisUtil.hasKey(NONCE_KEY + requestHeader.getNonce());        if(nonceExists){            //请求重复            responseFail(httpResponse,ReturnCode.REPLAY_ERROR);            return;        }else {            redisUtil.set(NONCE_KEY+requestHeader.getNonce(), requestHeader.getNonce(), signMaxTime);        }        boolean accept;        SortedMap<String, String> paramMap;        switch (httpRequest.getMethod()){            case "GET":                paramMap = HttpDataUtil.getUrlParams(requestWrapper);                accept = SignUtil.verifySign(paramMap, requestHeader);                break;            case "POST":                paramMap = HttpDataUtil.getBodyParams(requestWrapper);                accept = SignUtil.verifySign(paramMap, requestHeader);                break;            default:                accept = true;                break;        }        if (accept) {            filterChain.doFilter(requestWrapper, servletResponse);        } else {            responseFail(httpResponse,ReturnCode.ARGUMENT_ERROR);            return;        }    }    private void responseFail(HttpServletResponse httpResponse, ReturnCode returnCode)  {        ResultData<Object> resultData = ResultData.fail(returnCode.getCode(), returnCode.getMessage());        WebUtils.writeJson(httpResponse,resultData);    }    @Override    public void init(FilterConfig filterConfig) throws ServletException {        String signTime = filterConfig.getInitParameter("signMaxTime");        signMaxTime = Long.parseLong(signTime);    }}
复制代码

6、Redis 工具类

@Componentpublic class RedisUtil {    @Resource    private RedisTemplate<String, Object> redisTemplate;    /**     * 判断key是否存在     * @param key 键     * @return true 存在 false不存在     */    public boolean hasKey(String key) {        try {            return Boolean.TRUE.equals(redisTemplate.hasKey(key));        } catch (Exception e) {            e.printStackTrace();            return false;        }    }    /**     * 普通缓存放入并设置时间     * @param key   键     * @param value 值     * @param time  时间(秒) time要大于0 如果time小于等于0 将设置无限期     * @return true成功 false 失败     */    public boolean set(String key, Object value, long time) {        try {            if (time > 0) {                redisTemplate.opsForValue().set(key, value, time, TimeUnit.SECONDS);            } else {                set(key, value);            }            return true;        } catch (Exception e) {            e.printStackTrace();            return false;        }    }    /**     * 普通缓存放入     * @param key   键     * @param value 值     * @return true成功 false失败     */    public boolean set(String key, Object value) {        try {            redisTemplate.opsForValue().set(key, value);            return true;        } catch (Exception e) {            e.printStackTrace();            return false;        }    }}
复制代码

作者:飘渺 Jam

链接:https://juejin.cn/post/7195355046065176631

来源:稀土掘金

用户头像

还未添加个人签名 2021-07-28 加入

公众号:该用户快成仙了

评论 (2 条评论)

发布
用户头像
虽然是自己的文章,还是希望可以取一下水印
2023-02-14 22:22 · 广东
回复
哈哈哈
2023-02-15 09:40 · 湖南
回复
没有更多了
SpringBoot 如何保证接口安全?老鸟们都是这么玩的!_Java_做梦都在改BUG_InfoQ写作社区