系统的讲解 - PHP 接口签名验证
概览
工作中,我们时刻都会和接口打交道,有的是调取他人的接口,有的是为他人提供接口,在这过程中肯定都离不开签名验证。
在设计签名验证的时候,一定要满足以下几点:
- 可变性:每次的签名必须是不一样的。
- 时效性:每次请求的时效性,过期作废。
- 唯一性:每次的签名是唯一的。
- 完整性:能够对传入数据进行验证,防止篡改。
下面主要分享一些工作中常用的加解密的方法。
常用验证
举例:/api/login?username=xxx&password=xxx&sign=xxx
发送方和接收方约定一个加密的盐值,进行生成签名。
示例代码:
上面使用到了 MD5 方法,MD5 属于单向散列加密。
单向散列加密
定义
把任意长的输入串变化成固定长的输出串,并且由输出串难以得到输入串,这种方法称为单项散列加密。
常用算法
- MD5
- SHA
- MAC
- CRC
优点
以 MD5 为例。
- 方便存储:加密后都是固定大小(32位)的字符串,能够分配固定大小的空间存储。
- 损耗低:加密/加密对于性能的损耗微乎其微。
- 文件加密:只需要32位字符串就能对一个巨大的文件验证其完整性。
- 不可逆:大多数的情况下不可逆,具有良好的安全性。
缺点
- 存在暴力破解的可能性,最好通过加盐值的方式提高安全性。
应用场景
- 用于敏感数据,比如用户密码,请求参数,文件加密等。
推荐密码的存储方式
password_hash() 使用足够强度的单向散列算法创建密码的哈希(hash)。
示例代码:
PHP 手册地址:
http://php.net/manual/zh/function.password-hash.php
对称加密
定义
同一个密钥可以同时用作数据的加密和解密,这种方法称为对称加密。
常用算法
- DES
- AES
AES 是 DES 的升级版,密钥长度更长,选择更多,也更灵活,安全性更高,速度更快。
优点
算法公开、计算量小、加密速度快、加密效率高。
缺点
发送方和接收方必须商定好密钥,然后使双方都能保存好密钥,密钥管理成为双方的负担。
应用场景
相对大一点的数据量或关键数据的加密。
AES
AES 加密类库在网上很容易找得到,请注意类库中的 mcrypt_encrypt
和 mcrypt_decrypt
方法!
在 PHP7.2 版本中已经被弃用了,在新版本中使用 openssl_encrypt
和 openssl_decrypt
两个方法。
示例代码(类库):
示例代码:
运行结果:
非对称加密
定义
需要两个密钥来进行加密和解密,这两个秘钥分别是公钥(public key)和私钥(private key),这种方法称为非对称加密。
常用算法
- RSA
优点
与对称加密相比,安全性更好,加解密需要不同的密钥,公钥和私钥都可进行相互的加解密。
缺点
加密和解密花费时间长、速度慢,只适合对少量数据进行加密。
应用场景
适合于对安全性要求很高的场景,适合加密少量数据,比如支付数据、登录数据等。
RSA 与 RSA2
算法名称 |
标准名称 |
备注 |
---|---|---|
RSA2 |
SHA256WithRSA |
强制要求RSA密钥的长度至少为2048 |
RSA |
SHA1WithRSA |
对RSA密钥的长度不限制,推荐使用2048位以上 |
RSA2 比 RSA 有更强的安全能力。
蚂蚁金服,新浪微博 都在使用 RSA2 算法。
创建公钥和私钥:
openssl genrsa -out private_key.pem 2048
openssl rsa -in private_key.pem -pubout -out public_key.pem
执行上面命令,会生成 private_key.pem
和 public_key.pem
两个文件。
示例代码(类库):
示例代码:
运行结果:
部分数据截图如下:
JS-RSA
JSEncrypt :用于执行OpenSSL RSA加密、解密和密钥生成的Javascript库。
Git源:https://github.com/travist/jsencrypt
应用场景:
我们在做 WEB 的登录功能时一般是通过 Form 提交或 Ajax 方式提交到服务器进行验证的。
为了防止抓包,登录密码肯定要先进行一次加密(RSA),再提交到服务器进行验证。
一些大公司都在使用,比如淘宝、京东、新浪 等。
示例代码就不提供了,Git上提供的代码是非常完善的。
密钥安全管理
这些加密技术,能够达到安全加密效果的前提是 密钥的保密性。
实际工作中,不同环境的密钥都应该不同(开发环境、预发布环境、正式环境)。
那么,应该如何安全保存密钥呢?
环境变量
将密钥设置到环境变量中,每次从环境变量中加载。
配置中心
将密钥存放到配置中心,统一进行管理。
密钥过期策略
设置密钥有效期,比如一个月进行重置一次。
在这里希望大佬提供新的思路 ~
接口调试工具
Postman
一款功能强大的网页调试与发送网页 HTTP 请求的 Chrome插件。
这个不用多介绍,大家肯定都使用过。
SocketLog
Git源:https://github.com/luofei614/SocketLog
解决的痛点:
- 正在运行的API有Bug,不能在文件中使用var_dump进行调试,因为会影响到client的调用。将日志写到文件中,查看也不是很方便。
- 我们在二次开发一个新系统的时候,想查看执行了哪些Sql语句及程序的warning,notice等错误信息。
SocketLog,可以解决以上问题,它通过WebSocket将调试日志输出到浏览器的console中。
使用方法
- 安装、配置Chrome插件
- SocketLog服务端安装
- PHP中用SocketLog调试
- 配置日志类型和相关参数
在线接口文档
接口开发完毕,需要给请求方提供接口文档,文档的编写现在大部分都使用Markdown格式。
也有一些开源的系统,可以下载并安装到自己的服务器上。
也有一些在线的系统,可以在线使用同时也支持离线导出。
根据自己的情况,选择适合自己的文档平台吧。
常用的接口文档平台:
- eolinker
- Apizza
- Yapi
- RAP2
- DOClever
扩展
一、在 HTTP 和 RPC 的选择上,可能会有一些疑问,RPC框架配置比较复杂,明明用HTTP能实现为什么要选择RPC?
下面简单的介绍下 HTTP 与 RPC 的区别。
传输协议:
- HTTP 基于 HTTP 协议。
- RPC 即可以 HTTP 协议,也可以 TCP 协议。
HTTP 也是 RPC 实现的一种方式。
性能消耗:
- HTTP 大部分基于 JSON 实现的,序列化需要时间和性能。
- RPC 可以基于二进制进行传输,消耗性能少一点。
推荐一个像 JSON ,但比 JSON 传输更快占用更少的新型序列化类库 MessagePack。
官网地址:https://msgpack.org/
还有一些服务治理、负载均衡配置的区别。
使用场景:
比如浏览器接口、APP接口、第三方接口,推荐使用 HTTP。
比如集团内部的服务调用,推荐使用 RPC。
RPC 比 HTTP 性能消耗低,传输效率高,服务治理也方便。
推荐使用的 RPC 框架:Thrift。
二、动态令牌
简单介绍下几种动态令牌,感兴趣的可以深入了解下。
OTP:One-Time Password 一次性密码。
HOTP:HMAC-based One-Time Password 基于HMAC算法加密的一次性密码。
TOTP:Time-based One-Time Password 基于时间戳算法的一次性密码。
使用场景:
- 公司V**登录双因素验证
- 服务器登录动态密码验证
- 网银、网络游戏的实体动态口令牌
- 银行转账动态密码
- ...
小结
本文讲了设计签名验证需要满足的一些条件:可变性、时效性、唯一性、完整性。
还讲了一些加密方法:单向散列加密、对称加密、非对称加密,同时分析了各种加密方法的优缺点,大家可以根据自己的业务特点进行自由选择。
提供了 Aes、Rsa 相关代码示例。
分享了可以编写接口文档的在线系统。
分享了开发过程中使用的接口调试工具。
扩展中分析了 HTTP 和 RPC 的区别,动态令牌的介绍等。
还提出了一个问题,关于如何安全的进行密钥管理? , 欢迎各位 前辈/大佬,提供新的思路 ~
原文链接
https://mp.weixin.qq.com/s/13uyYs08gtNAMrbgqSCHEw
- 自定义AuthorizeAttribute
- 系统进程管理工具Process Explorer
- jquery 操作DOM元素(1)
- 开源的读取Excel文件组件-ExcelDataReader
- BlackPearl 的 ServiceObject 开发部署
- [程序设计语言]-[核心概念]-04:数据类型
- jquery 筛选元素(1)
- [程序设计语言]-00:目录
- 使用 SQL Server 2008 数据类型-xml 字段类型参数进行数据的批量选取或删除数据
- jquery 筛选元素 (2)
- 专家:中国还不是网络强国 今后须打破国外垄断
- jquery 筛选元素 (3)
- ASP.NET安全隐患的临时解决方法
- 实用代码-C#之IP地址和整数的互转
- php概述
- php教程
- php环境搭建
- PHP书写格式
- php变量
- php常量
- PHP注释
- php数组
- php字符串 string
- PHP整型 integer
- PHP浮点型 float
- php布尔型
- php数据类型之数组
- php数据类型之对象
- php数据类型之null
- php数据类型之间的转换
- php运算符
- php表达式
- PHP循环控制
- PHP流程控制
- php函数
- php全局变量
- PHP魔术变量
- php命名空间
- php 日期
- PHP包含文件
- php文件
- PHP 文件上传
- php Cookies
- php Sessions
- php email
- php安全email
- php错误处理
- PHP异常处理
- php过滤器
- PHP 高级过滤器
- php json
- php 表单
- PHP MySQL 简介
- PHP 连接 MySQL
- php创建数据库
- php 创建表
- php mysq 插入数据
- PHP MySQL 插入多条数据
- PHP MySQL 预处理语句
- php mysql 读取数据
- php mysql where
- PHP MySQL Order By
- PHP MySQL Update
- PHP MySQL Delete
- php ODBC
- (mysql)找不到请求的 .Net Framework Data Provider。可能没有安装
- Vue 中的 v-cloak 解读
- ef和mysql使用(一)
- 浏览器工作原理
- ef oracle参数化问题
- 动态We API(ABP官方文档翻译)
- 彻底禁用Chrome的“请停用以开发者模式运行的扩展程序”提示
- wcf远程服务器返回错误404
- EF 相见恨晚的Attach方法
- C#篇(三)——函数传参之引用类型和值类型
- linq中order by 和group by (含lambda表达式实现)以及综合案例
- 动态We API层(动态生成js)
- 微信扫码登陆原理
- C#数据并行和任务并行
- 数据并行和任务并行