首页
学习
活动
专区
圈层
工具
发布
社区首页 >专栏 >细说RESTful API安全之防止数据篡改

细说RESTful API安全之防止数据篡改

作者头像
编程随笔
发布2019-09-11 15:45:50
发布2019-09-11 15:45:50
1.3K0
举报
文章被收录于专栏:后端开发随笔后端开发随笔

通常可以使用MD5或SHA-1对API参数进行签名,在服务器端通过校验签名结果来验证数据是否被修改。

举个例子:添加用户

代码语言:javascript
复制
          地址:http://192.168.0.10/v1/user/add?sign=MD5(请求参数 + timestamp + access_token)&timestamp=1496978464401
          方法:POST
        消息头:
          Host:192.168.0.10
    User-Agent:Mozilla/5.0 (Windows NT 6.1; WOW64; rv:53.0) Gecko/20100101 Firefox/53.0
        Accept:text/json, */*; q=0.01
  Content-Type:application/json; charset=UTF-8
Content-Length:67
    Connection:keep-alive
Authentication:Basic Y2hlbmNoPTExMTExMQ==
    
      请求参数:
{name: "zhangsan", email: "zhangsan@org.com", phone: "1318907653"}

1. acess_token通过消息头Authentication传递。 2. 将请求参数,当前时间戳以及access_token一起进行计算签名:sign=MD5(请求参数 + timestamp + access_token),服务器端接收到参数时,先进行签名验证,如果签名不正确,则说明数据被修改,返回400。 但是,简单的MD5签名规则也可能被破解,攻击者只需要使用相同的规则即可轻松修改数据。 所以,建议在对参数进行签名时添加盐值。为了避免盐值保存在客户端被泄露,可以动态从服务器端动态获取盐值,即:sign=MD5(请求参数 + timestamp + access_token + 动态盐值)。

本文参与 腾讯云自媒体同步曝光计划,分享自作者个人站点/博客。
原始发表:2017-06-09 ,如有侵权请联系 cloudcommunity@tencent.com 删除
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档