SpringBoot写API接口,如何提高API的安全性,数据加解密方案

概述

前后端分离的项目中,数据交互都通过接口交互,接口的安全性很重要,对于传输的数据进行加密解密是很有必要的。

如何保证API调用时数据的安全性:

  • 通信使用https
  • 请求签名,防止参数被篡改
  • 身份确认机制,每次请求都要验证是否合法
  • APP中使用ssl pinning防止抓包操作
  • 对所有请求和响应都进行加解密操作
image.png

Springboot中使用AES对称算法加密解密数据

1.在pom.xml文件中加入依赖

        <dependency>
            <groupId>commons-codec</groupId>
            <artifactId>commons-codec</artifactId>
            <version>1.10</version>
        </dependency>
  1. 创建com.zhlab.demo.encrypt包,存放加解密核心代码
    代码不一一讲解了,目录如下:
代码结构
  1. 加解密工具核心类:AesEncryptUtil.java
package com.zhlab.demo.encrypt.utils;

import org.apache.tomcat.util.codec.binary.Base64;

import javax.crypto.Cipher;
import javax.crypto.KeyGenerator;
import javax.crypto.spec.SecretKeySpec;
import java.nio.charset.StandardCharsets;

/**
 * @ClassName AesEncryptUtil
 * @Description //AES加密解密工具
 * @Author singleZhang
 * @Email 405780096@qq.com
 * @Date 2021/1/7 0007 下午 3:28
 **/
public class AesEncryptUtil {
    private static final String KEY = "d7b85f6e214abcda";
    private static final String ALGORITHM_STR = "AES/ECB/PKCS5Padding";

    public static String base64Encode(byte[] bytes) {
        return Base64.encodeBase64String(bytes);
    }

    public static byte[] base64Decode(String base64Code) throws Exception {
        return Base64.decodeBase64(base64Code);
    }

    public static byte[] aesEncryptToBytes(String content, String encryptKey) throws Exception {
        KeyGenerator kgen = KeyGenerator.getInstance("AES");
        kgen.init(128);
        Cipher cipher = Cipher.getInstance(ALGORITHM_STR);
        cipher.init(Cipher.ENCRYPT_MODE, new SecretKeySpec(encryptKey.getBytes(), "AES"));
        return cipher.doFinal(content.getBytes(StandardCharsets.UTF_8));
    }

    public static String aesEncrypt(String content, String encryptKey) throws Exception {
        return base64Encode(aesEncryptToBytes(content, encryptKey));
    }

    public static String aesDecryptByBytes(byte[] encryptBytes, String decryptKey) throws Exception {
        KeyGenerator kgen = KeyGenerator.getInstance("AES");
        kgen.init(128);
        Cipher cipher = Cipher.getInstance(ALGORITHM_STR);
        cipher.init(Cipher.DECRYPT_MODE, new SecretKeySpec(decryptKey.getBytes(), "AES"));
        byte[] decryptBytes = cipher.doFinal(encryptBytes);
        return new String(decryptBytes, StandardCharsets.UTF_8);
    }

    public static String aesDecrypt(String encryptStr, String decryptKey) throws Exception {

        return aesDecryptByBytes(base64Decode(encryptStr), decryptKey);
    }

// TODO TEST

    public static void main(String[] args) throws Exception {
        String content = "SingleZhang2021";
        System.out.println("加密前:" + content);

        String encrypt = aesEncrypt(content, KEY);
        System.out.println(encrypt.length() + ":加密后:" + encrypt);

        String decrypt = aesDecrypt(encrypt, KEY);
        System.out.println("解密后:" + decrypt);
    }
}
  1. 前端如果是web,需要一个js加密包crypto-js.js来实现AES加密
    前端部分代码如下:
    var key = CryptoJS.enc.Utf8.parse("abcdef0123456780");
    //加密
    function Encrypt(word) {
        var srcs = CryptoJS.enc.Utf8.parse(word);
        var encrypted = CryptoJS.AES.encrypt(srcs, key, {
            mode: CryptoJS.mode.ECB,
            padding: CryptoJS.pad.Pkcs7
        });
        return encrypted.toString();
    }
    //解密
    function Decrypt(word) {
        var decrypt = CryptoJS.AES.decrypt(word, key, {
            mode: CryptoJS.mode.ECB,
            padding: CryptoJS.pad.Pkcs7
        });
        return CryptoJS.enc.Utf8.stringify(decrypt).toString();
    }
  1. 在接口中,通过注解来选择性加解密,可以避免性能降低的风险
    /**
     * post请求->一个参数使用@Decrypt注解解密
     *
     * @param username
     * @return
     * @throws Exception
     */
    @Encrypt
    @Decrypt
    @PostMapping("/postStrData2")
    public String postStrData2(@RequestBody String username) throws Exception {
        System.out.println("username: " + username);

        return "加密字符串";
    }

    /**
     * post请求->发送并获取实体类数据,使用@Decrypt注解解密
     */
    @Encrypt
    @Decrypt
    @PostMapping("/encryptDto")
    public UserDto encryptDto(@RequestBody UserDto dto) {
        System.err.println(dto.getId() + "\t" + dto.getName());
        return dto;
    }
  1. 在启动类上加上@EnableEncrypt 注解
@EnableEncrypt
@SpringBootApplication(exclude = { DataSourceAutoConfiguration.class })
public class DemoApplication {

    public static void main(String[] args) {
        SpringApplication.run(DemoApplication.class, args);
    }
}

好了,做完以上的工作,请求接口的数据就相对比之前安全许多,至少对一些爬虫工程师会造成一点困扰。

代码已传git

https://gitee.com/kaixinshow/springboot-note 16Springboot-encrypt

非对称加密算法思路

这个留给大家自己去动手实践,思路如下:
1、客户端启动,发送请求到服务端,服务端用RSA算法生成一对公钥和私钥,我们简称为publickey1,privatekey1,将公钥publickey1返回给客户端。
2、客户端拿到服务端返回的公钥publickey1后,自己用RSA算法生成一对公钥和私钥,我们简称为publickey2,privatekey2,并将公钥publickey2通过公钥publickey1加密,加密之后传输给服务端。
3、此时服务端收到客户端传输的密文,用私钥privatekey1进行解密,因为数据是用公钥publickey1加密的,通过解密就可以得到客户端生成的公钥publickey2
4、然后自己在生成对称加密,也就是我们的AES,其实也就是相对于我们配置中的那个16的长度的加密key,生成了这个key之后我们就用公钥publickey2进行加密,返回给客户端,因为只有客户端有publickey2对应的私钥privatekey2,只有客户端才能解密,客户端得到数据之后,用privatekey2进行解密操作,得到AES的加密key,最后就用加密key进行数据传输的加密

加签验签概念

加签:
Hash函数把原始报文生成报文摘要,然后用私钥对这个摘要进行加密,就得到这个报文对应的数字签名。通常来说呢,请求方会把「数字签名和报文原文」一并发送给接收方。
验签:
接收方拿到原始报文和数字签名后,用同一个Hash函数从报文中生成摘要A。另外,用对方提供的公钥对数字签名进行解密,得到摘要B,对比A和B是否相同,就可以得知报文有没有被篡改过。

验签

这里以简单的md5为例:
将请求参数中的各个键值对按照key的字符串顺序升序排列(大小写敏感),把key和value拼成一串之后最后加上密钥,组成key1value1key2value2PRIVATEKEY的格式,转成utf-8编码的字节序列后计算md5,作为请求的签名。计算出来的签名串应当全为小写形式。如果某个参数的值为空,则此参数不参与签名。
例如,C为客户端,S为服务器端。C向S发出请求,C传的参数有A=a,B=b,C=c,除此之外,还需要传递一个签名摘要参数sign。sign = md5(AaBbCc+PRIVATEKEY) 其中+表示字符串连接,md5算法,可以替换为一些更为复杂的签名算法,其中PRIVATEKEY是双方商定好的私钥.
服务器端用同样的方法来进行签名验证。这里最好加上timestamp时间戳和nonce随机字符串。

总结

这些加解密对于算力有要求,会消耗性能,对于重要数据的接口才考虑加密操作。

推荐阅读更多精彩内容