文档章节

APP接口安全设计

一别丶经年
 一别丶经年
发布于 2016/12/06 19:05
字数 640
阅读 272
收藏 8

APP接口安全是APP接口设计中一个很重要的环节,良好的安全机制可以保护后端接口服务不被非法使用,限制和跟踪用户访问情况。下面是笔者从网上查找一些资料并结合公司实际业务设计的一个APP安全调用时序图,欢迎大家拍砖,以改良该设计。 设计图

该方案分两部分(公司产品需求):
1.需要认证的接口
2.不需要认证的接口

需要认证的接口在用户登录时,将根据传入的app_key,生成对应的app_secret,并返回给客户端,客户端将存储该app_secret值。后续请求时,将app_key和由md5(app_key + timestamp + app_secret)生产的签名写入请求消息头中,传递到服务器端,由服务器端进行校验,由于本案使用Openresty构建了接口网关,所以签名校验动作将在该网关中完成,如果签名校验成功,则将请求转发到后端服务器,否则将返回签名错误响应。
在调用不需要认证的接口时,由于无法对app_key进行确认,所以只是简单的根据app_key生成一个ticket,返回给客户端,客户端请求时将在请求消息头中携带该ticket值,服务器端进行简单校验(ticket是否确实由服务端签发)。该方案当然无法真正做到接口安全,毕竟没有建立信任机制,app_key完全可以伪造。但结合公司实际业务,有两个原因,可以接受这一方案。原因一,公司产品绝大部分业务场景是要求登录的,免登请求只限于很少一部分展示类的请求,接口被恶意利用的意义不大。原因二,由于免登请求有限,所以在服务器端建立白名单机制,白名单上列出所有免登接口URI,限定免登机制的影响范围,防止非法用户恶意修改重要业务数据。
方案二中的ticket并不设置过期时间,因为可以重复获取ticket,所以设置过期意义不大,用户在至少一次登录后,由于服务端有签发密钥,这时 ticket将被清除,在客户端已获取密钥的情况下,服务端将不再接收基于ticket机制的接口请求,全部接口请求将走签名机制。

© 著作权归作者所有

共有 人打赏支持
一别丶经年
粉丝 25
博文 36
码字总数 56401
作品 0
徐汇
架构师
App架构设计经验谈:接口的设计

App架构设计经验谈:接口的设计 App架构设计经验谈:技术选型 App架构设计经验谈:数据层的设计 App架构设计经验谈:业务层的设计 App架构设计经验谈:展示层的设计 App与服务器的通信接口如何设计...

chaun
2016/04/29
193
1
App开放接口api安全性的设计与实现

App开放接口api安全性的设计与实现 Posted on 2016-09-29 11:49 琪齐 阅读(4121) 评论(0) 编辑 收藏 阅读目录 导航 公告 App开放接口api安全性的设计与实现 前言 设计   1、原理   2、具...

蜗牛奔跑
2017/11/01
0
0
App架构设计经验谈:接口的设计

App与服务器的通信接口如何设计得好,需要考虑的地方挺多的,在此根据我的一些经验做一些总结分享,旨在抛砖引玉。 安全机制的设计 现在,大部分App的接口都采用RESTful架构,RESTFul最重要的...

奋斗的小菜一碟
2016/05/24
246
0
Web API系列(二)接口安全和参数校验

  以前简单介绍过web api 的设计,但是还是有很多朋友问我,如何合理的设计和实现web api。比如,接口安全,异常处理,统一数据返回等问题。所以有必要系统的总结总结 web api 的设计和实现...

章为忠
2016/12/20
0
0
【Web 渗透】【机器学习】【知识付费】【接口设计】| Chat · 预告

1 Web 渗透测试入门 作者简介: Mr.time,从事信息安全相关工作多年,长期进行风险评估、等保测评、渗透测试等项目的实施,有丰富的实战经验。 专注于研究web安全、熟知常见Web安全漏洞;目前...

gitchat
2017/11/30
0
0

没有更多内容

加载失败,请刷新页面

加载更多

Android JNI开发系列(十三) JNI异常处理

JNI 异常处理 JNI异常与JAVA处理异常的区别 JAVA 有异常处理机制,而JNI没有 如果JAVA中异常没有捕获,后面的代码不会执行,JNI会执行 JAVA编译时的异常,是在方法显示的声明了某一个异常,编...

蔡小鹏
35分钟前
2
0
简单介绍Java 的JAR包、EAR包、WAR包区别

WAR包 WAR(Web Archive file)网络应用程序文件,是与平台无关的文件格式,它允许将许多文件组合成一个压缩文件。War专用于Web方面。大部分的JAVA WEB工程,都是打成WAR包进行发布的。 War是...

Linux就该这么学
59分钟前
1
0
Qt那些事0.0.7

在帮助文档(Overview - QML and C++ Integration)中随缘遇到一张图,是关于C++对象与QML整合介绍的,值得标记下来,虽然大部分功能也有所涉猎,但是还是留个记号,万一哪天我失忆了还想写Q...

Ev4n
今天
0
0
快速幂运算

题:求一个数 data 的 n 次幂,要求时间复杂度为log(n) 1:递归算法: /** * x^3=(x^2)*x;x^7=(x^3)^2 * x * * 递归算法 * @param data 底数 * @param n 次...

偶尔诗文
今天
1
0

没有更多内容

加载失败,请刷新页面

加载更多

返回顶部
顶部