概述
前后端分離的項(xiàng)目中,數(shù)據(jù)交互都通過接口交互,接口的安全性很重要，對(duì)于傳輸?shù)臄?shù)據(jù)進(jìn)行加密解密是很有必要的。
如何保證API調(diào)用時(shí)數(shù)據(jù)的安全性:
- 通信使用https
- 請(qǐng)求簽名，防止參數(shù)被篡改
- 身份確認(rèn)機(jī)制，每次請(qǐng)求都要驗(yàn)證是否合法
- APP中使用ssl pinning防止抓包操作
- 對(duì)所有請(qǐng)求和響應(yīng)都進(jìn)行加解密操作
Springboot中使用AES對(duì)稱算法加密解密數(shù)據(jù)
1.在pom.xml文件中加入依賴
<dependency>
<groupId>commons-codec</groupId>
<artifactId>commons-codec</artifactId>
<version>1.10</version>
</dependency>
- 創(chuàng)建com.zhlab.demo.encrypt包,存放加解密核心代碼
代碼不一一講解了，目錄如下:
- 加解密工具核心類:AesEncryptUtil.java
package com.zhlab.demo.encrypt.utils;
import org.apache.tomcat.util.codec.binary.Base64;
import javax.crypto.Cipher;
import javax.crypto.KeyGenerator;
import javax.crypto.spec.SecretKeySpec;
import java.nio.charset.StandardCharsets;
/**
* @ClassName AesEncryptUtil
* @Description //AES加密解密工具
* @Author singleZhang
* @Email 405780096@qq.com
* @Date 2021/1/7 0007 下午 3:28
**/
public class AesEncryptUtil {
private static final String KEY = "d7b85f6e214abcda";
private static final String ALGORITHM_STR = "AES/ECB/PKCS5Padding";
public static String base64Encode(byte[] bytes) {
return Base64.encodeBase64String(bytes);
}
public static byte[] base64Decode(String base64Code) throws Exception {
return Base64.decodeBase64(base64Code);
}
public static byte[] aesEncryptToBytes(String content, String encryptKey) throws Exception {
KeyGenerator kgen = KeyGenerator.getInstance("AES");
kgen.init(128);
Cipher cipher = Cipher.getInstance(ALGORITHM_STR);
cipher.init(Cipher.ENCRYPT_MODE, new SecretKeySpec(encryptKey.getBytes(), "AES"));
return cipher.doFinal(content.getBytes(StandardCharsets.UTF_8));
}
public static String aesEncrypt(String content, String encryptKey) throws Exception {
return base64Encode(aesEncryptToBytes(content, encryptKey));
}
public static String aesDecryptByBytes(byte[] encryptBytes, String decryptKey) throws Exception {
KeyGenerator kgen = KeyGenerator.getInstance("AES");
kgen.init(128);
Cipher cipher = Cipher.getInstance(ALGORITHM_STR);
cipher.init(Cipher.DECRYPT_MODE, new SecretKeySpec(decryptKey.getBytes(), "AES"));
byte[] decryptBytes = cipher.doFinal(encryptBytes);
return new String(decryptBytes, StandardCharsets.UTF_8);
}
public static String aesDecrypt(String encryptStr, String decryptKey) throws Exception {
return aesDecryptByBytes(base64Decode(encryptStr), decryptKey);
}
// TODO TEST
public static void main(String[] args) throws Exception {
String content = "SingleZhang2021";
System.out.println("加密前：" + content);
String encrypt = aesEncrypt(content, KEY);
System.out.println(encrypt.length() + ":加密后：" + encrypt);
String decrypt = aesDecrypt(encrypt, KEY);
System.out.println("解密后：" + decrypt);
}
}
- 前端如果是web,需要一個(gè)js加密包c(diǎn)rypto-js.js來實(shí)現(xiàn)AES加密
前端部分代碼如下:
var key = CryptoJS.enc.Utf8.parse("abcdef0123456780");
//加密
function Encrypt(word) {
var srcs = CryptoJS.enc.Utf8.parse(word);
var encrypted = CryptoJS.AES.encrypt(srcs, key, {
mode: CryptoJS.mode.ECB,
padding: CryptoJS.pad.Pkcs7
});
return encrypted.toString();
}
//解密
function Decrypt(word) {
var decrypt = CryptoJS.AES.decrypt(word, key, {
mode: CryptoJS.mode.ECB,
padding: CryptoJS.pad.Pkcs7
});
return CryptoJS.enc.Utf8.stringify(decrypt).toString();
}
- 在接口中，通過注解來選擇性加解密,可以避免性能降低的風(fēng)險(xiǎn)
/**
* post請(qǐng)求->一個(gè)參數(shù)使用@Decrypt注解解密
*
* @param username
* @return
* @throws Exception
*/
@Encrypt
@Decrypt
@PostMapping("/postStrData2")
public String postStrData2(@RequestBody String username) throws Exception {
System.out.println("username: " + username);
return "加密字符串";
}
/**
* post請(qǐng)求->發(fā)送并獲取實(shí)體類數(shù)據(jù),使用@Decrypt注解解密
*/
@Encrypt
@Decrypt
@PostMapping("/encryptDto")
public UserDto encryptDto(@RequestBody UserDto dto) {
System.err.println(dto.getId() + "\t" + dto.getName());
return dto;
}
- 在啟動(dòng)類上加上@EnableEncrypt 注解
@EnableEncrypt
@SpringBootApplication(exclude = { DataSourceAutoConfiguration.class })
public class DemoApplication {
public static void main(String[] args) {
SpringApplication.run(DemoApplication.class, args);
}
}
好了,做完以上的工作,請(qǐng)求接口的數(shù)據(jù)就相對(duì)比之前安全許多,至少對(duì)一些爬蟲工程師會(huì)造成一點(diǎn)困擾。
代碼已傳git
https://gitee.com/kaixinshow/springboot-note 16Springboot-encrypt
非對(duì)稱加密算法思路
這個(gè)留給大家自己去動(dòng)手實(shí)踐,思路如下:
1、客戶端啟動(dòng)，發(fā)送請(qǐng)求到服務(wù)端，服務(wù)端用RSA算法生成一對(duì)公鑰和私鑰，我們簡(jiǎn)稱為publickey1,privatekey1，將公鑰publickey1返回給客戶端。
2、客戶端拿到服務(wù)端返回的公鑰publickey1后，自己用RSA算法生成一對(duì)公鑰和私鑰，我們簡(jiǎn)稱為publickey2,privatekey2，并將公鑰publickey2通過公鑰publickey1加密，加密之后傳輸給服務(wù)端。
3、此時(shí)服務(wù)端收到客戶端傳輸?shù)拿芪?，用私鑰privatekey1進(jìn)行解密，因?yàn)閿?shù)據(jù)是用公鑰publickey1加密的，通過解密就可以得到客戶端生成的公鑰publickey2
4、然后自己在生成對(duì)稱加密，也就是我們的AES,其實(shí)也就是相對(duì)于我們配置中的那個(gè)16的長(zhǎng)度的加密key,生成了這個(gè)key之后我們就用公鑰publickey2進(jìn)行加密，返回給客戶端，因?yàn)橹挥锌蛻舳擞衟ublickey2對(duì)應(yīng)的私鑰privatekey2，只有客戶端才能解密，客戶端得到數(shù)據(jù)之后，用privatekey2進(jìn)行解密操作，得到AES的加密key,最后就用加密key進(jìn)行數(shù)據(jù)傳輸?shù)募用?/p>
加簽驗(yàn)簽概念
加簽：
用Hash函數(shù)把原始報(bào)文生成報(bào)文摘要，然后用私鑰對(duì)這個(gè)摘要進(jìn)行加密，就得到這個(gè)報(bào)文對(duì)應(yīng)的數(shù)字簽名。通常來說呢，請(qǐng)求方會(huì)把「數(shù)字簽名和報(bào)文原文」一并發(fā)送給接收方。
驗(yàn)簽：
接收方拿到原始報(bào)文和數(shù)字簽名后，用同一個(gè)Hash函數(shù)從報(bào)文中生成摘要A。另外，用對(duì)方提供的公鑰對(duì)數(shù)字簽名進(jìn)行解密，得到摘要B，對(duì)比A和B是否相同，就可以得知報(bào)文有沒有被篡改過。
這里以簡(jiǎn)單的md5為例:
將請(qǐng)求參數(shù)中的各個(gè)鍵值對(duì)按照key的字符串順序升序排列（大小寫敏感），把key和value拼成一串之后最后加上密鑰，組成key1value1key2value2PRIVATEKEY的格式，轉(zhuǎn)成utf-8編碼的字節(jié)序列后計(jì)算md5，作為請(qǐng)求的簽名。計(jì)算出來的簽名串應(yīng)當(dāng)全為小寫形式。如果某個(gè)參數(shù)的值為空，則此參數(shù)不參與簽名。
例如，C為客戶端，S為服務(wù)器端。C向S發(fā)出請(qǐng)求,C傳的參數(shù)有A=a,B=b,C=c，除此之外，還需要傳遞一個(gè)簽名摘要參數(shù)sign。sign = md5(AaBbCc+PRIVATEKEY) 其中+表示字符串連接，md5算法，可以替換為一些更為復(fù)雜的簽名算法，其中PRIVATEKEY是雙方商定好的私鑰.
服務(wù)器端用同樣的方法來進(jìn)行簽名驗(yàn)證。這里最好加上timestamp時(shí)間戳和nonce隨機(jī)字符串。
總結(jié)
這些加解密對(duì)于算力有要求，會(huì)消耗性能，對(duì)于重要數(shù)據(jù)的接口才考慮加密操作。
