如何保证API接口安全性?
如何保证接口安全性
要想实现接口的安全性，我们可以做到以下几点:
首先，我们需要采用HTTPS 对传输过程中的数据进行加密，避免使用HTTP 这种明文传输的协议，防止数据直接暴露在公网中，在使用HTTPS的同时要保证时间安全可靠的加密方法和SSL 协议，目前主流的是TLS1.2 和最新的TLS1.3。同时要对证书进行校验，因为即使是HTTPS协议，证书也是能够被伪造的。
其次，对接口设计一般会加入 token、timestamp和sign 这些参数，不同的参数有自己不同的用途：
- timestamp，即时间戳，它是客户端调用接口时传入的当前时间戳，时间戳的目的是用于防止DoS攻击。每次调用接口时接口都会判断服务器当前系统时间和接口中传的的timestamp的差值，如果这个差值超过某个设置的时间，例如设置的时间是3分钟，那么这个请求将被拦截掉，如果在设置的超时时间范围内，是不能阻止DoS攻击的。timestamp机制只能减轻DoS攻击的时间，缩短攻击时间。如果黑客修改了时间戳的值可通过sign签名机制来处理。
- sign，即签名，通常用于参数签名，防止参数被非法篡改，最常见的是修改金额等重要敏感参数， sign的值一般是将所有非空参数按照升续排序然后+token+key+timestamp+nonce(随机数)拼接在一起，然后使用某种加密算法进行加密，这种方式的好处就是，当被劫持后，修改其中的参数值，然后再继续调用接口，虽然参数的值被修改了，但是因为攻击者并不清楚sign是如何计算出来的，所以即可是篡改参数的值，但没法修改sign的值，当服务器调用接口前会按照sign的规则重新计算出sign的值然后和接口传递的sign参数的值做比较，如果相等表示参数值没有被篡改，如果不等，表示参数被非法篡改了，则不会返回真实的响应信息。
- 此外，接口设计时候要实现幂等性操作，所谓的幂等性操作就是为了防止重复性运算，我们可以将生成的签名和key保存到redis 中，并且设置超时时间，过期自动删除，当有重复的值存在则不会处理，就可以防止重复提交，从而保证请求结果一致性。
其使用流程如下:
- 接口调用方(客户端)向接口提供方(服务器)申请接口调用账号，申请成功后，接口提供方会给接口调用方一个AppKey和一个APP Secret参数
- 调用方申请App Key 和 App Secret 在生成请求时，将参数拼接后进行加密，例如使用HMAC-SHA256 或MD5加密，然后将 App Key， 加密结果追加到请求上。sign=加密(appId + timestamp + key)
- 服务收到请求后，根据App Key识别出调用方，解密得到参数以及对时间进行对比，判断是否超时，然后从字典中查询到对应的App Secret，与请求参数拼接、加密，与请求中的签名进行对比，签名结果相同的为合法请求。
以上就是给API 接口安全性的一些建议，仅供参考，在实际的应用中还可以追加一些公共的参数，例如Host、接口的版本等等参数去进行校验保证接口的安全性。
<来客推（www.laiketui.com）是国内知名商城系统及商城网站建设提供商，为企业级商家提供零售商城、B2B2C多用户商城系统、社区团购商城系统、微信分销系统、小程序商城、微分销系统等多端商城网站建设解决方案>
申明：本网站部分文章和图片来源网络编辑，如有侵权及时沟通删除，来客电商原创文章，转载请注明来源。
