日本综合一区二区|亚洲中文天堂综合|日韩欧美自拍一区|男女精品天堂一区|欧美自拍第6页亚洲成人精品一区|亚洲黄色天堂一区二区成人|超碰91偷拍第一页|日韩av夜夜嗨中文字幕|久久蜜综合视频官网|精美人妻一区二区三区

環(huán)境：Springboot2.5.12 + Vue2 + Axios

概述

API接口的安全傳輸是確保數(shù)據(jù)在API請求和響應(yīng)之間的傳輸過程中不被截獲、篡改或泄露的重要步驟。以下是一些用于增強API接口安全傳輸?shù)某Ｒ娂夹g(shù)和最佳實踐：

1. 使用HTTPS：使用HTTPS協(xié)議而不是HTTP，以確保數(shù)據(jù)在傳輸過程中的安全性。HTTPS使用SSL/TLS協(xié)議對通信進行加密，防止中間人攻擊和數(shù)據(jù)竊聽。
2. 驗證HTTPS請求：驗證HTTPS請求的來源，確保請求來自授權(quán)的客戶端。這可以通過檢查SSL證書的頒發(fā)機構(gòu)和有效期來實現(xiàn)。
3. 驗證API密鑰：驗證API請求中包含的API密鑰的合法性。這可以通過檢查密鑰的唯一標識符、有效性和權(quán)限來實現(xiàn)。
4. 使用JSON Web Tokens (JWT)：JWT是一種開放標準，用于在雙方之間安全地傳輸信息。JWT包含一組聲明，由JSON對象表示，并使用數(shù)字簽名進行驗證。它可以用于API身份驗證和授權(quán)。
5. 限制API訪問頻率：限制API請求的頻率和并發(fā)數(shù)，以防止濫用和拒絕服務(wù)攻擊。這可以通過設(shè)置速率限制和并發(fā)限制來實現(xiàn)。
6. 使用消息身份驗證碼（MAC）：消息身份驗證碼是一種用于驗證消息完整性和認證性的機制。它可以用于防止篡改和重放攻擊。
7. 加密敏感數(shù)據(jù)：對傳輸?shù)拿舾袛?shù)據(jù)進行加密，例如用戶密碼和個人信息。這可以通過使用對稱加密或公鑰加密來實現(xiàn)。
8. 使用合適的HTTP標頭：使用適當?shù)腍TTP標頭來防止跨站腳本攻擊（XSS）和其他安全漏洞。例如，設(shè)置"X-XSS-Protection: 1; mode=block"標頭來啟用瀏覽器的內(nèi)置XSS保護機制。
9. 實施訪問控制：根據(jù)用戶的身份和權(quán)限，對API請求進行訪問控制。這可以通過使用基于角色的訪問控制（RBAC）或基于聲明的訪問控制（ABAC）來實現(xiàn)。
10. 定期更新和修補：確保API和相關(guān)系統(tǒng)得到及時更新和修補，以修復(fù)任何已知的安全漏洞。

在Spring中我們通過繼承RequestBodyAdviceAdapter實現(xiàn)對于請求的內(nèi)容進行解密操作，實現(xiàn)ResponseBodyAdvice來對相應(yīng)內(nèi)容進行加密處理。接下來將詳細講解數(shù)據(jù)加解密的實現(xiàn)過程。

定義加密解密的接口：

SecretProcess

public interface SecretProcess {
  
  /**
   *  
數(shù)據(jù)加密
   *  
時間：2020年12月24日-下午12:22:13
   * @author xg
   * @param data 待加密數(shù)據(jù)
   * @return String 加密結(jié)果
   */
  String encrypt(String data) ;
  
  /**
   *  
數(shù)據(jù)解密
   *  
時間：2020年12月24日-下午12:23:20
   * @author xg
   * @param data 待解密數(shù)據(jù)
   * @return String 解密后的數(shù)據(jù)
   */
  String decrypt(String data) ;
  
  /**
   *  
加密算法格式：算法[/模式/填充]
   *  
時間：2020年12月24日-下午12:32:49
   * @author xg
   * @return String
   */
  String getAlgorithm() ;
  
  public static class Hex {
    
    private static final char[] HEX = { '0', '1', '2', '3', '4', '5', '6', '7', '8', '9',
        'a', 'b', 'c', 'd', 'e', 'f' };
    
    public static byte[] decode(CharSequence s) {
      int nChars = s.length();
      if (nChars % 2 != 0) {
        throw new IllegalArgumentException("16進制數(shù)據(jù)錯誤");
      }
      byte[] result = new byte[nChars / 2];
      for (int i = 0; i < nChars; i += 2) {
        int msb = Character.digit(s.charAt(i), 16);
        int lsb = Character.digit(s.charAt(i + 1), 16);
        if (msb < 0 || lsb < 0) {
          throw new IllegalArgumentException(
            "Detected a Non-hex character at " + (i + 1) + " or " + (i + 2) + " position");
        }
        result[i / 2] = (byte) ((msb << 4) | lsb);
      }
      return result;
    }
    
    public static String encode(byte[] buf) {
      StringBuilder sb = new StringBuilder() ;
      for (int i = 0, leng = buf.length; i < leng; i++) {
        sb.append(HEX[(buf[i] & 0xF0) >>> 4]).append(HEX[buf[i] & 0x0F]) ;
      }
      return sb.toString() ;
    }
    
  }
  
}

該接口中定義了兩個方法分別是加密與解密的方法，還有Hex類 該類用來對數(shù)據(jù)處理16進制的轉(zhuǎn)換。

定義一個抽象類實現(xiàn)上面的接口，具體的加解密實現(xiàn)細節(jié)在該抽象類中

AbstractSecretProcess

public abstract class AbstractSecretProcess implements SecretProcess {
  
  @Resource
  private SecretProperties props ;
  
  @Override
  public String decrypt(String data) {
    try {
      Cipher cipher = Cipher.getInstance(getAlgorithm()) ;
      cipher.init(Cipher.DECRYPT_MODE, keySpec()) ;
      byte[] decryptBytes = cipher.doFinal(Hex.decode(data)) ;
      return new String(decryptBytes) ;
    } catch (Exception e) {
      throw new RuntimeException(e) ;
    }
  }
  
  @Override
  public String encrypt(String data) {
    try {
      Cipher cipher = Cipher.getInstance(getAlgorithm()) ;
      cipher.init(Cipher.ENCRYPT_MODE, keySpec()) ;
      return Hex.encode(cipher.doFinal(data.getBytes(Charset.forName("UTF-8")))) ;
    } catch (Exception e) {
      throw new RuntimeException(e) ;
    }
  }
  
  /**
   *  
根據(jù)密鑰生成不同的密鑰材料
   *  
目前支持：AES, DES
   *  
時間：2020年12月25日-下午1:02:54
   * @author xg
   * @param secretKey 密鑰
   * @param algorithm 算法
   * @return Key
   */
  public Key getKeySpec(String algorithm) {
    if (algorithm == null || algorithm.trim().length() == 0) {
      return null ;
    }
    String secretKey = props.getKey() ;
    switch (algorithm.toUpperCase()) {
      case "AES":
        return new SecretKeySpec(secretKey.getBytes(), "AES") ;
      case "DES":
        Key key = null ;
        try {
          DESKeySpec desKeySpec = new DESKeySpec(secretKey.getBytes()) ;
          SecretKeyFactory secretKeyFactory = SecretKeyFactory.getInstance("DES") ;
          key = secretKeyFactory.generateSecret(desKeySpec);
        } catch (Exception e) {
          throw new RuntimeException(e) ;
        }
        return key ;
      default:
        return null ;
    }
  }
  
  /**
   *  
生成密鑰材料
   *  
時間：2020年12月25日-上午11:35:03
   * @author xg
   * @return Key 密鑰材料
   */
  public abstract Key keySpec() ;
  
}

該抽象類中提供了2中對稱加密的密鑰還原，分表是AES和DES算法。一個抽象方法，該抽象方法

keySpec該方法需要子類實現(xiàn)（具體使用的是哪種對稱加密算法）。

具體加密算法的實現(xiàn)類

AESAlgorithm

public class AESAlgorithm extends AbstractSecretProcess {


  @Override
  public String getAlgorithm() {
    return "AES/ECB/PKCS5Padding";
  }
  
  @Override
  public Key keySpec() {
    return this.getKeySpec("AES") ;
  }


}

SecretProperties

@Configuration
public class SecretConfig {
  
  @Bean
  @ConditionalOnMissingBean(SecretProcess.class)
  public SecretProcess secretProcess() {
    return new AESAlgorithm() ;
  }
  
  @Component
  @ConfigurationProperties(prefix = "secret")
  public static class SecretProperties {
    
    private Boolean enabled ;
    private String key ;


    public Boolean getEnabled() {
      return enabled;
    }


    public void setEnabled(Boolean enabled) {
      this.enabled = enabled;
    }


    public String getKey() {
      return key;
    }


    public void setKey(String key) {
      this.key = key;
    }
    
  }
  
}

配置文件中如下配置：

secret:
  key: aaaabbbbccccdddd #密鑰
  enabled: true #是否開啟加解密功能

在項目中可能不是所有的方法都要進行數(shù)據(jù)的加密解密出來，所以接下來定義一個注解，只有添加有該注解的Controller類或是具體接口方法才進行數(shù)據(jù)的加密解密，如下：

SIProtection

@Target({ElementType.METHOD, ElementType.TYPE})
@Retention(RetentionPolicy.RUNTIME)
@Mapping
@Documented
public @interface SIProtection {


}

對請求內(nèi)容進行解密出來，通過RequestBodyAdvice

DecryptRequestBodyAdivce

@ControllerAdvice
@ConditionalOnProperty(name = "secret.enabled", havingValue = "true")
public class DecryptRequestBodyAdivce extends RequestBodyAdviceAdapter {


  @Resource
  private SecretProcess secretProcess ;
  
  @Override
  public boolean supports(MethodParameter methodParameter, Type targetType,
      Class> converterType) {
    return methodParameter.getMethod().isAnnotationPresent(SIProtection.class) 
        || methodParameter.getMethod().getDeclaringClass().isAnnotationPresent(SIProtection.class) ;
  }


  @Override
  public HttpInputMessage beforeBodyRead(HttpInputMessage inputMessage, MethodParameter parameter, Type targetType,
      Class> converterType) throws IOException {
    String body = secretProcess.decrypt(inToString(inputMessage.getBody())) ;
    return new HttpInputMessage() {
      @Override
      public HttpHeaders getHeaders() {
        return inputMessage.getHeaders();
      }
      @Override
      public InputStream getBody() throws IOException {
        return new ByteArrayInputStream(body.getBytes()) ;
      }
    } ;
  }
  
  private String inToString(InputStream is) {
    byte[] buf = new byte[10 * 1024] ;
    int leng = -1 ;
    StringBuilder sb = new StringBuilder() ;
    try {
      while ((leng = is.read(buf)) != -1) {
        sb.append(new String(buf, 0, leng)) ;
      }
      return sb.toString() ;
    } catch (IOException e) {
      throw new RuntimeException(e) ;
    }
  }


}

注意這里的：@ConditionalOnProperty(name = "secret.enabled", havingValue = "true")注解，只有開啟了加解密功能才會生效。注意這里的supports方法

對響應(yīng)內(nèi)容加密出來

EncryptResponseBodyAdivce

@ControllerAdvice
@ConditionalOnProperty(name = "secret.enabled", havingValue = "true")
public class EncryptResponseBodyAdivce implements ResponseBodyAdvice