优雅的接口防刷处理方案！

---

对于互联网来说，只要你系统的接口暴露在外网，就避免不了接口安全问题。如果你的接口在外网裸奔，只要让黑客知道接口的地址和参数就可以调用，那简直就是灾难。

举个例子：你的网站用户注册的时候，需要填写手机号，发送手机验证码，如果这个发送验证码的接口没有经过特殊安全处理，那这个短信接口早就被人盗刷不知道浪费多少钱了。

那如何保证接口安全呢？

一般来说，暴露在外网的api接口需要做到防篡改 和防重放 才能称之为安全的接口。

防篡改

我们知道http 是一种无状态的协议，服务端并不知道客户端发送的请求是否合法，也并不知道请求中的参数是否正确。

举个例子, 现在有个充值的接口，调用后可以给用户增加对应的余额。

http://localhost/api/user/recharge?user_id=1001&amount=10

如果非法用户通过抓包获取到接口参数后，修改user_id 或 amount的值就可以实现给任意账户添加余额的目的。

如何解决

采用https协议可以将传输的明文进行加密，但是黑客仍然可以截获传输的数据包，进一步伪造请求进行重放攻击。如果黑客使用特殊手段让请求方设备使用了伪造的证书进行通信，那么https加密的内容也会被解密。

一般的做法有2种：

1. 采用https方式把接口的数据进行加密传输，即便是被黑客破解，黑客也花费大量的时间和精力去破解。
2. 接口后台对接口的请求参数进行验证，防止被黑客篡改；

• 步骤1：客户端使用约定好的秘钥对传输的参数进行加密，得到签名值sign1，并且将签名值也放入请求的参数中，发送请求给服务端
• 步骤2：服务端接收到客户端的请求，然后使用约定好的秘钥对请求的参数再次进行签名，得到签名值sign2。
• 步骤3：服务端比对sign1和sign2的值，如果不一致，就认定为被篡改，非法请求。

基于 Spring Boot + MyBatis Plus + Vue & Element 实现的后台管理系统 + 用户小程序，支持 RBAC 动态权限、多租户、数据权限、工作流、三方登录、支付、短信、商城等功能

• 项目地址：https://github.com/YunaiV/ruoyi-vue-pro
• 视频教程：https://doc.iocoder.cn/video/

防重放

防重放也叫防复用。简单来说就是我获取到这个请求的信息之后什么也不改,，直接拿着接口的参数 重复请求这个充值的接口。此时我的请求是合法的, 因为所有参数都是跟合法请求一模一样的。

重放攻击会造成两种后果：

1. 针对插入数据库接口：重放攻击，会出现大量重复数据，甚至垃圾数据会把数据库撑爆。
2. 针对查询的接口：黑客一般是重点攻击慢查询接口，例如一个慢查询接口1s，只要黑客发起重放攻击，就必然造成系统被拖垮，数据库查询被阻塞死。

对于重放攻击一般有两种做法：

基于timestamp的方案

每次HTTP请求，都需要加上timestamp参数，然后把timestamp和其他参数一起进行数字签名。因为一次正常的HTTP请求，从发出到达服务器一般都不会超过60s，所以服务器收到HTTP请求之后，首先判断时间戳参数与当前时间比较，是否超过了60s，如果超过了则认为是非法请求。

一般情况下，黑客从抓包重放请求耗时远远超过了60s，所以此时请求中的timestamp参数已经失效了。如果黑客修改timestamp参数为当前的时间戳，则sign1参数对应的数字签名就会失效，因为黑客不知道签名秘钥，没有办法生成新的数字签名。

但是这种方式的漏洞也是显而易见，如果在60s之内进行重放攻击，那就没办法了，所以这种方式不能保证请求仅一次有效。

老鸟们一般会采取下面这种方案，既可以解决接口重放问题，又可以解决接口一次请求有效的问题。

基于nonce + timestamp 的方案

nonce的意思是仅一次有效的随机字符串，要求每次请求时该参数要保证不同。实际使用用户信息+时间戳+随机数等信息做个哈希之后，作为nonce参数。

此时服务端的处理流程如下：

1. 去 redis 中查找是否有 key 为 nonce:{nonce}的 string
2. 如果没有，则创建这个 key，把这个 key 失效的时间和验证 timestamp 失效的时间一致，比如是 60s。
3. 如果有，说明这个 key 在 60s 内已经被使用了，那么这个请求就可以判断为重放请求。

这种方案nonce和timestamp参数都作为签名的一部分传到后端，基于timestamp方案可以让黑客只能在60s内进行重放攻击，加上nonce随机数以后可以保证接口只能被调用一次，可以很好的解决重放攻击问题。

基于 Spring Cloud Alibaba + Gateway + Nacos + RocketMQ + Vue & Element 实现的后台管理系统 + 用户小程序，支持 RBAC 动态权限、多租户、数据权限、工作流、三方登录、支付、短信、商城等功能

• 项目地址：https://github.com/YunaiV/yudao-cloud
• 视频教程：https://doc.iocoder.cn/video/

代码实现

接下来通过实际代码来看看如何实现接口的防篡改和防重放。

1、构建请求头对象

@Data
@Builder
publicclassRequestHeader{
privateStringsign;
privateLongtimestamp;
privateStringnonce;
}

2、工具类从HttpServletRequest获取请求参数

@Slf4j
@UtilityClass
publicclassHttpDataUtil{
/**
*post请求处理：获取Body参数，转换为SortedMap
*
*@paramrequest
*/
publicSortedMapgetBodyParams(finalHttpServletRequestrequest)throwsIOException{
byte[]requestBody=StreamUtils.copyToByteArray(request.getInputStream());
Stringbody=newString(requestBody);
returnJsonUtil.json2Object(body,SortedMap.class);
}


/**
*get请求处理：将URL请求参数转换成SortedMap
*/
publicstaticSortedMapgetUrlParams(HttpServletRequestrequest){
Stringparam="";
SortedMapresult=newTreeMap<>();

if(StringUtils.isEmpty(request.getQueryString())){
returnresult;
}

try{
param=URLDecoder.decode(request.getQueryString(),"utf-8");
}catch(UnsupportedEncodingExceptione){
e.printStackTrace();
}

String[]params=param.split("&");
for(Strings:params){
String[]array=s.split("=");
result.put(array[0],array[1]);
}
returnresult;
}
}

这里的参数放入SortedMap中对其进行字典排序，前端构建签名时同样需要对参数进行字典排序。

3、签名验证工具类

@Slf4j
@UtilityClass
publicclassSignUtil{
/**
*验证签名
*验证算法：把timestamp+JsonUtil.object2Json(SortedMap)合成字符串，然后MD5
*/
@SneakyThrows
publicbooleanverifySign(SortedMapmap,RequestHeaderrequestHeader){
Stringparams=requestHeader.getNonce()+requestHeader.getTimestamp()+JsonUtil.object2Json(map);
returnverifySign(params,requestHeader);
}

/**
*验证签名
*/
publicbooleanverifySign(Stringparams,RequestHeaderrequestHeader){
log.debug("客户端签名:{}",requestHeader.getSign());
if(StringUtils.isEmpty(params)){
returnfalse;
}
log.info("客户端上传内容:{}",params);
StringparamsSign=DigestUtils.md5DigestAsHex(params.getBytes()).toUpperCase();
log.info("客户端上传内容加密后的签名结果:{}",paramsSign);
returnrequestHeader.getSign().equals(paramsSign);
}
}

4、HttpServletRequest包装类

publicclassSignRequestWrapperextendsHttpServletRequestWrapper{
//用于将流保存下来
privatebyte[]requestBody=null;

publicSignRequestWrapper(HttpServletRequestrequest)throwsIOException{
super(request);
requestBody=StreamUtils.copyToByteArray(request.getInputStream());
}

@Override
publicServletInputStreamgetInputStream()throwsIOException{
finalByteArrayInputStreambais=newByteArrayInputStream(requestBody);

returnnewServletInputStream(){
@Override
publicbooleanisFinished(){
returnfalse;
}

@Override
publicbooleanisReady(){
returnfalse;
}

@Override
publicvoidsetReadListener(ReadListenerreadListener){

}

@Override
publicintread()throwsIOException{
returnbais.read();
}
};

}

@Override
publicBufferedReadergetReader()throwsIOException{
returnnewBufferedReader(newInputStreamReader(getInputStream()));
}
}

防篡改和防重放我们会通过SpringBoot Filter来实现，而编写的filter过滤器需要读取request数据流，但是request数据流只能读取一次，需要自己实现HttpServletRequestWrapper对数据流包装，目的是将request流保存下来。

5、创建过滤器实现安全校验

@Configuration
publicclassSignFilterConfiguration{
@Value("${sign.maxTime}")
privateStringsignMaxTime;

//filter中的初始化参数
privateMapinitParametersMap=newHashMap<>();

@Bean
publicFilterRegistrationBeancontextFilterRegistrationBean(){
initParametersMap.put("signMaxTime",signMaxTime);
FilterRegistrationBeanregistration=newFilterRegistrationBean();
registration.setFilter(signFilter());
registration.setInitParameters(initParametersMap);
registration.addUrlPatterns("/sign/*");
registration.setName("SignFilter");
//设置过滤器被调用的顺序
registration.setOrder(1);
returnregistration;
}

@Bean
publicFiltersignFilter(){
returnnewSignFilter();
}
}
@Slf4j
publicclassSignFilterimplementsFilter{
@Resource
privateRedisUtilredisUtil;

//从fitler配置中获取sign过期时间
privateLongsignMaxTime;

privatestaticfinalStringNONCE_KEY="x-nonce-";

@Override
publicvoiddoFilter(ServletRequestservletRequest,ServletResponseservletResponse,FilterChainfilterChain)throwsIOException,ServletException{
HttpServletRequesthttpRequest=(HttpServletRequest)servletRequest;
HttpServletResponsehttpResponse=(HttpServletResponse)servletResponse;

log.info("过滤URL:{}",httpRequest.getRequestURI());

HttpServletRequestWrapperrequestWrapper=newSignRequestWrapper(httpRequest);
//构建请求头
RequestHeaderrequestHeader=RequestHeader.builder()
.nonce(httpRequest.getHeader("x-Nonce"))
.timestamp(Long.parseLong(httpRequest.getHeader("X-Time")))
.sign(httpRequest.getHeader("X-Sign"))
.build();

//验证请求头是否存在
if(StringUtils.isEmpty(requestHeader.getSign())||ObjectUtils.isEmpty(requestHeader.getTimestamp())||StringUtils.isEmpty(requestHeader.getNonce())){
responseFail(httpResponse,ReturnCode.ILLEGAL_HEADER);
return;
}

/*
*1.重放验证
*判断timestamp时间戳与当前时间是否操过60s（过期时间根据业务情况设置）,如果超过了就提示签名过期。
*/
longnow=System.currentTimeMillis()/1000;

if(now-requestHeader.getTimestamp()>signMaxTime){
responseFail(httpResponse,ReturnCode.REPLAY_ERROR);
return;
}

//2.判断nonce
booleannonceExists=redisUtil.hasKey(NONCE_KEY+requestHeader.getNonce());
if(nonceExists){
//请求重复
responseFail(httpResponse,ReturnCode.REPLAY_ERROR);
return;
}else{
redisUtil.set(NONCE_KEY+requestHeader.getNonce(),requestHeader.getNonce(),signMaxTime);
}


booleanaccept;
SortedMapparamMap;
switch(httpRequest.getMethod()){
case"GET":
paramMap=HttpDataUtil.getUrlParams(requestWrapper);
accept=SignUtil.verifySign(paramMap,requestHeader);
break;
case"POST":
paramMap=HttpDataUtil.getBodyParams(requestWrapper);
accept=SignUtil.verifySign(paramMap,requestHeader);
break;
default:
accept=true;
break;
}
if(accept){
filterChain.doFilter(requestWrapper,servletResponse);
}else{
responseFail(httpResponse,ReturnCode.ARGUMENT_ERROR);
return;
}

}

privatevoidresponseFail(HttpServletResponsehttpResponse,ReturnCodereturnCode){
ResultData