商业网站建设政策支持,最全资源搜索引擎,牡丹江疾控中心最新信息,北京 设计网站接口安全是系统稳定亘古不变的道理#xff0c;作为程序员可以从哪些方面下手呢#xff1f;
注#xff1a;因为一些原因#xff0c;突然想总结接口安全的重要性。之前写过类似的文章#xff0c;今天增加一些案例总结其应用场景。
1、接口传输加密#xff0c;不单单依赖h…接口安全是系统稳定亘古不变的道理作为程序员可以从哪些方面下手呢
注因为一些原因突然想总结接口安全的重要性。之前写过类似的文章今天增加一些案例总结其应用场景。
1、接口传输加密不单单依赖https的ssl证书。请求参数、返回结果加密 如果系统改造成本较大建议结果约定好密钥双向对称加密比如AES。针对核心资产数据比如2c的商品库、楼盘库等通过加密增加破解难度。现在fiddler 、charles抓包工具盛行如果加密这块不上心可能底裤被扒了个遍。 为什么闲鱼放弃网页端专注APP和小程序一定程度原因是因为网页端加解密算法在浏览器端本身不安全容易被竞争对手爬取二手物品。另外一个杭州的例子公证处摇号查询之前接口是不加密的 房小团原名摇号助手就是通过爬取摇号查询做小程序推广起家的导致大家都知道房小团却很少知道公证处源头。 核心数据的隐私安全性至关重要。
2、数据加签验证防止数据被篡改。同时公共参数增加appkey、appsret等参数验证请求者身份 类似支付宝开放接口。
数据加签用Hash算法比如md5把原始请求参数生成报文摘要然后用私钥对这个摘要进行加密就得到这个报文对应的数字签名sign这个过程就是加签。通常来说呢请求方会把数字签名和报文原文一并发送给接收方。
验签接收方拿到原始报文和数字签名sign后用同一个Hash算法(比如都用MD5)从报文中生成摘要A。另外用对方提供的公钥对数字签名进行解密得到摘要B对比A和B是否相同就可以得知报文有没有被篡改过。
appKeyappid本身是一个身份验证服务端通过给客户端颁发appKey通过接口请求服务端就知道是哪个客户端做的请求方便做流量监控后续想做根据调用次数计费或者限流都有迹可循。计费、限流只是其中的一些应用场景还有不少这里就不一一细说。
3、 授权认证机制。通过appkey、appScret参数生成一定时效的token 防止token被截取。 这种处理接口安全的方式你会发现微信、钉钉等开放接口类似这样的设计。
4、 增加timestamp nonce校验。这种一般配合2或3使用。timestamp控制接口的时效性保证接口参数被泄露也很难频繁刷接口。 比如可以通过timestamp设置5分钟有效超过5分钟接口请求无效。nonce可设置用完一次被销毁多少时间不可重复传递服务端可通过redis等缓存组件判断值appKeynonce等是否存在细节按照自己的要求设计。
5、IP白名单 针对接口服务调用服务做ip白名单。 也许你有疑问既然有了1,2,3了为啥还要考虑ip白名单。 拿公司内部项目举例人员离职变动不可避免 假设某个核心技术人员知道加解密规则是不是可以模拟做些事情。 加了ip白名单一定程度可以避免这种事情的发生。
6、IP黑名单 通过ecs服务器上配置安全组策略、或者iptables把恶意攻击的ip加入黑名单。比如增加防爬策略把经常爬取网站的机器ip封掉。
7、限流机制 限流的方式大致计数器算法、漏桶算法、令牌桶算法。 用计数器、令牌桶做限流相对多一点毕竟漏桶比较难解决突发流量。 如大名鼎鼎的Guava RateLimiter 就是令牌桶的实现 简单限流也可以借助redis的 incr命令。
8、削峰机制比如商品秒杀可以通过MQ消息中间件削减部分压力。中小公司可能平时用不到像12306、淘宝、微博这种大流量比较常见。
9、熔断机制当服务请求过大 对一些不重要的请求或后续请求 做熔断处理。阿里的Sentinel或Netflix的hystrix 框架就是解决这个场景也可以根据实际的需求自行实现。
10、增加高级验证码 比如一些手机号码注册等服务 要考虑增加验证码滑块或其他高级验证码的方式搭配ip策略防止有人恶意批量轮询不同手机号码刷接口短信次数。 现在简单的图形验证码很容易被破解 可以见我之前写的一篇文章。【python爬虫】图形验证码识别的几种技术实现方案。 随心记录
