文档章节

APP接口安全设计

一别丶经年
 一别丶经年
发布于 2016/12/06 19:05
字数 640
阅读 232
收藏 7

APP接口安全是APP接口设计中一个很重要的环节,良好的安全机制可以保护后端接口服务不被非法使用,限制和跟踪用户访问情况。下面是笔者从网上查找一些资料并结合公司实际业务设计的一个APP安全调用时序图,欢迎大家拍砖,以改良该设计。 设计图

该方案分两部分(公司产品需求):
1.需要认证的接口
2.不需要认证的接口

需要认证的接口在用户登录时,将根据传入的app_key,生成对应的app_secret,并返回给客户端,客户端将存储该app_secret值。后续请求时,将app_key和由md5(app_key + timestamp + app_secret)生产的签名写入请求消息头中,传递到服务器端,由服务器端进行校验,由于本案使用Openresty构建了接口网关,所以签名校验动作将在该网关中完成,如果签名校验成功,则将请求转发到后端服务器,否则将返回签名错误响应。
在调用不需要认证的接口时,由于无法对app_key进行确认,所以只是简单的根据app_key生成一个ticket,返回给客户端,客户端请求时将在请求消息头中携带该ticket值,服务器端进行简单校验(ticket是否确实由服务端签发)。该方案当然无法真正做到接口安全,毕竟没有建立信任机制,app_key完全可以伪造。但结合公司实际业务,有两个原因,可以接受这一方案。原因一,公司产品绝大部分业务场景是要求登录的,免登请求只限于很少一部分展示类的请求,接口被恶意利用的意义不大。原因二,由于免登请求有限,所以在服务器端建立白名单机制,白名单上列出所有免登接口URI,限定免登机制的影响范围,防止非法用户恶意修改重要业务数据。
方案二中的ticket并不设置过期时间,因为可以重复获取ticket,所以设置过期意义不大,用户在至少一次登录后,由于服务端有签发密钥,这时 ticket将被清除,在客户端已获取密钥的情况下,服务端将不再接收基于ticket机制的接口请求,全部接口请求将走签名机制。

© 著作权归作者所有

共有 人打赏支持
一别丶经年
粉丝 24
博文 36
码字总数 56401
作品 0
徐汇
架构师
App架构设计经验谈:接口的设计

App架构设计经验谈:接口的设计 App架构设计经验谈:技术选型 App架构设计经验谈:数据层的设计 App架构设计经验谈:业务层的设计 App架构设计经验谈:展示层的设计 App与服务器的通信接口如何设计...

chaun
2016/04/29
193
1
App开放接口api安全性的设计与实现

App开放接口api安全性的设计与实现 Posted on 2016-09-29 11:49 琪齐 阅读(4121) 评论(0) 编辑 收藏 阅读目录 导航 公告 App开放接口api安全性的设计与实现 前言 设计   1、原理   2、具...

蜗牛奔跑
2017/11/01
0
0
App架构设计经验谈:接口的设计

App与服务器的通信接口如何设计得好,需要考虑的地方挺多的,在此根据我的一些经验做一些总结分享,旨在抛砖引玉。 安全机制的设计 现在,大部分App的接口都采用RESTful架构,RESTFul最重要的...

奋斗的小菜一碟
2016/05/24
246
0
Web API系列(二)接口安全和参数校验

  以前简单介绍过web api 的设计,但是还是有很多朋友问我,如何合理的设计和实现web api。比如,接口安全,异常处理,统一数据返回等问题。所以有必要系统的总结总结 web api 的设计和实现...

章为忠
2016/12/20
0
0
App开放接口api安全性—Token签名sign的设计与实现

App开放接口api安全性—Token签名sign的设计与实现 api签名 / sign签名 / token 前言 在app开放接口api的设计中,避免不了的就是安全性问题,因为大多数接口涉及到用户的个人信息以及一些敏感...

蜗牛奔跑
2017/11/01
0
0

没有更多内容

加载失败,请刷新页面

加载更多

下一页

配置Spring的注解支持

声明:本栏目所使用的素材都是凯哥学堂VIP学员所写,学员有权匿名,对文章有最终解释权;凯哥学堂旨在促进VIP学员互相学习的基础上公开笔记。 配置Spring的注解支持 以上也提到了使用注解来配...

凯哥学堂
28分钟前
0
0
关于Spring Aop存在的一点问题的思考

在本人前面的文章Spring Aop原理之切点表达式解析中讲解了Spring是如何解析切点表达式的,在分析源码的时候,出现了如下将要讲述的问题,我认为是不合理的,后来本人单纯使用aspectj进行试验...

爱宝贝丶
30分钟前
0
0
JavaScript 概述

JavaScript是面向Web的编程语言。绝大多数现代网站都使用了JavaScript,并且所有的现代Web浏览器——基于桌面系统、游戏机、平板电脑和智能手机的浏览器——均包含了JavaScript解释器。这使得...

Mr_ET
今天
0
0
Java Run-Time Data Areas(Java运行时数据区/内存分配)

Java运行时数据区(内存分配) 本文转载官网 更多相关内容可查看官网 中文翻译可参考 2.5. Run-Time Data Areas The Java Virtual Machine defines various run-time data areas that are use...

lichuangnk
今天
0
0
docker learn :services docker-compose.yml

docker-compose.yml定义了服务的运行参数 version: "3" services: web: # replace username/repo:tag with your name and image details image: hub.c.163.com/dog948453219/friendlyhello d......

writeademo
今天
0
0

没有更多内容

加载失败,请刷新页面

加载更多

下一页

返回顶部
顶部