概述
前后端分離的項目中,數(shù)據(jù)交互都通過接口交互,接口的安全性很重要，對于傳輸?shù)臄?shù)據(jù)進行加密解密是很有必要的。
如何保證API調(diào)用時數(shù)據(jù)的安全性:
- 通信使用https
- 請求簽名，防止參數(shù)被篡改
- 身份確認(rèn)機制，每次請求都要驗證是否合法
- APP中使用ssl pinning防止抓包操作
- 對所有請求和響應(yīng)都進行加解密操作
Springboot中使用AES對稱算法加密解密數(shù)據(jù)
1.在pom.xml文件中加入依賴
<dependency>
<groupId>commons-codec</groupId>
<artifactId>commons-codec</artifactId>
<version>1.10</version>
</dependency>
- 創(chuàng)建com.zhlab.demo.encrypt包,存放加解密核心代碼
代碼不一一講解了，目錄如下:
- 加解密工具核心類:AesEncryptUtil.java
package com.zhlab.demo.encrypt.utils;
import org.apache.tomcat.util.codec.binary.Base64;
import javax.crypto.Cipher;
import javax.crypto.KeyGenerator;
import javax.crypto.spec.SecretKeySpec;
import java.nio.charset.StandardCharsets;
/**
* @ClassName AesEncryptUtil
* @Description //AES加密解密工具
* @Author singleZhang
* @Email 405780096@qq.com
* @Date 2021/1/7 0007 下午 3:28
**/
public class AesEncryptUtil {
private static final String KEY = "d7b85f6e214abcda";
private static final String ALGORITHM_STR = "AES/ECB/PKCS5Padding";
public static String base64Encode(byte[] bytes) {
return Base64.encodeBase64String(bytes);
}
public static byte[] base64Decode(String base64Code) throws Exception {
return Base64.decodeBase64(base64Code);
}
public static byte[] aesEncryptToBytes(String content, String encryptKey) throws Exception {
KeyGenerator kgen = KeyGenerator.getInstance("AES");
kgen.init(128);
Cipher cipher = Cipher.getInstance(ALGORITHM_STR);
cipher.init(Cipher.ENCRYPT_MODE, new SecretKeySpec(encryptKey.getBytes(), "AES"));
return cipher.doFinal(content.getBytes(StandardCharsets.UTF_8));
}
public static String aesEncrypt(String content, String encryptKey) throws Exception {
return base64Encode(aesEncryptToBytes(content, encryptKey));
}
public static String aesDecryptByBytes(byte[] encryptBytes, String decryptKey) throws Exception {
KeyGenerator kgen = KeyGenerator.getInstance("AES");
kgen.init(128);
Cipher cipher = Cipher.getInstance(ALGORITHM_STR);
cipher.init(Cipher.DECRYPT_MODE, new SecretKeySpec(decryptKey.getBytes(), "AES"));
byte[] decryptBytes = cipher.doFinal(encryptBytes);
return new String(decryptBytes, StandardCharsets.UTF_8);
}
public static String aesDecrypt(String encryptStr, String decryptKey) throws Exception {
return aesDecryptByBytes(base64Decode(encryptStr), decryptKey);
}
// TODO TEST
public static void main(String[] args) throws Exception {
String content = "SingleZhang2021";
System.out.println("加密前：" + content);
String encrypt = aesEncrypt(content, KEY);
System.out.println(encrypt.length() + ":加密后：" + encrypt);
String decrypt = aesDecrypt(encrypt, KEY);
System.out.println("解密后：" + decrypt);
}
}
- 前端如果是web,需要一個js加密包crypto-js.js來實現(xiàn)AES加密
前端部分代碼如下:
var key = CryptoJS.enc.Utf8.parse("abcdef0123456780");
//加密
function Encrypt(word) {
var srcs = CryptoJS.enc.Utf8.parse(word);
var encrypted = CryptoJS.AES.encrypt(srcs, key, {
mode: CryptoJS.mode.ECB,
padding: CryptoJS.pad.Pkcs7
});
return encrypted.toString();
}
//解密
function Decrypt(word) {
var decrypt = CryptoJS.AES.decrypt(word, key, {
mode: CryptoJS.mode.ECB,
padding: CryptoJS.pad.Pkcs7
});
return CryptoJS.enc.Utf8.stringify(decrypt).toString();
}
- 在接口中，通過注解來選擇性加解密,可以避免性能降低的風(fēng)險
/**
* post請求->一個參數(shù)使用@Decrypt注解解密
*
* @param username
* @return
* @throws Exception
*/
@Encrypt
@Decrypt
@PostMapping("/postStrData2")
public String postStrData2(@RequestBody String username) throws Exception {
System.out.println("username: " + username);
return "加密字符串";
}
/**
* post請求->發(fā)送并獲取實體類數(shù)據(jù),使用@Decrypt注解解密
*/
@Encrypt
@Decrypt
@PostMapping("/encryptDto")
public UserDto encryptDto(@RequestBody UserDto dto) {
System.err.println(dto.getId() + "\t" + dto.getName());
return dto;
}
- 在啟動類上加上@EnableEncrypt 注解
@EnableEncrypt
@SpringBootApplication(exclude = { DataSourceAutoConfiguration.class })
public class DemoApplication {
public static void main(String[] args) {
SpringApplication.run(DemoApplication.class, args);
}
}
好了,做完以上的工作,請求接口的數(shù)據(jù)就相對比之前安全許多,至少對一些爬蟲工程師會造成一點困擾。
代碼已傳git
https://gitee.com/kaixinshow/springboot-note 16Springboot-encrypt
非對稱加密算法思路
這個留給大家自己去動手實踐,思路如下:
1、客戶端啟動，發(fā)送請求到服務(wù)端，服務(wù)端用RSA算法生成一對公鑰和私鑰，我們簡稱為publickey1,privatekey1，將公鑰publickey1返回給客戶端。
2、客戶端拿到服務(wù)端返回的公鑰publickey1后，自己用RSA算法生成一對公鑰和私鑰，我們簡稱為publickey2,privatekey2，并將公鑰publickey2通過公鑰publickey1加密，加密之后傳輸給服務(wù)端。
3、此時服務(wù)端收到客戶端傳輸?shù)拿芪模盟借€privatekey1進行解密，因為數(shù)據(jù)是用公鑰publickey1加密的，通過解密就可以得到客戶端生成的公鑰publickey2
4、然后自己在生成對稱加密，也就是我們的AES,其實也就是相對于我們配置中的那個16的長度的加密key,生成了這個key之后我們就用公鑰publickey2進行加密，返回給客戶端，因為只有客戶端有publickey2對應(yīng)的私鑰privatekey2，只有客戶端才能解密，客戶端得到數(shù)據(jù)之后，用privatekey2進行解密操作，得到AES的加密key,最后就用加密key進行數(shù)據(jù)傳輸?shù)募用?/p>
加簽驗簽概念
加簽：
用Hash函數(shù)把原始報文生成報文摘要，然后用私鑰對這個摘要進行加密，就得到這個報文對應(yīng)的數(shù)字簽名。通常來說呢，請求方會把「數(shù)字簽名和報文原文」一并發(fā)送給接收方。
驗簽：
接收方拿到原始報文和數(shù)字簽名后，用同一個Hash函數(shù)從報文中生成摘要A。另外，用對方提供的公鑰對數(shù)字簽名進行解密，得到摘要B，對比A和B是否相同，就可以得知報文有沒有被篡改過。
這里以簡單的md5為例:
將請求參數(shù)中的各個鍵值對按照key的字符串順序升序排列（大小寫敏感），把key和value拼成一串之后最后加上密鑰，組成key1value1key2value2PRIVATEKEY的格式，轉(zhuǎn)成utf-8編碼的字節(jié)序列后計算md5，作為請求的簽名。計算出來的簽名串應(yīng)當(dāng)全為小寫形式。如果某個參數(shù)的值為空，則此參數(shù)不參與簽名。
例如，C為客戶端，S為服務(wù)器端。C向S發(fā)出請求,C傳的參數(shù)有A=a,B=b,C=c，除此之外，還需要傳遞一個簽名摘要參數(shù)sign。sign = md5(AaBbCc+PRIVATEKEY) 其中+表示字符串連接，md5算法，可以替換為一些更為復(fù)雜的簽名算法，其中PRIVATEKEY是雙方商定好的私鑰.
服務(wù)器端用同樣的方法來進行簽名驗證。這里最好加上timestamp時間戳和nonce隨機字符串。
總結(jié)
這些加解密對于算力有要求，會消耗性能，對于重要數(shù)據(jù)的接口才考慮加密操作。
