概覽

工作中，我們時刻都會和接口打交道，有的是調取他人的接口，有的是為他人提供接口，在這過程中肯定都離不開簽名驗證。

在設計簽名驗證的時候，一定要滿足以下幾點：

• 可變性：每次的簽名必須是不一樣的。

• 時效性：每次請求的時效性，過期作廢。

• 唯一性：每次的簽名是唯一的。

• 完整性：能夠對傳入數(shù)據(jù)進行驗證，防止篡改。

下面主要分享一些工作中常用的加解密的方法。

常用驗證

舉例：/api/login?username=xxx&password=xxx&sign=xxx

發(fā)送方和接收方約定一個加密的鹽值，進行生成簽名。

示例代碼：

image

上面使用到了 MD5 方法，MD5 屬于單向散列加密。

單向散列加密

定義

把任意長的輸入串變化成固定長的輸出串，并且由輸出串難以得到輸入串，這種方法稱為單項散列加密。

常用算法

• MD5

• SHA

• MAC

• CRC

優(yōu)點

以 MD5 為例。

• 方便存儲：加密后都是固定大?。?2位）的字符串，能夠分配固定大小的空間存儲。

• 損耗低：加密/加密對于性能的損耗微乎其微。

• 文件加密：只需要32位字符串就能對一個巨大的文件驗證其完整性。

• 不可逆：大多數(shù)的情況下不可逆，具有良好的安全性。

缺點

• 存在暴力破解的可能性，最好通過加鹽值的方式提高安全性。

應用場景

• 用于敏感數(shù)據(jù)，比如用戶密碼，請求參數(shù)，文件加密等。

推薦密碼的存儲方式

password_hash() 使用足夠強度的單向散列算法創(chuàng)建密碼的哈希（hash）。

示例代碼：

image

PHP 手冊地址：

http://php.net/manual/zh/function.password-hash.php

對稱加密

定義

同一個密鑰可以同時用作數(shù)據(jù)的加密和解密，這種方法稱為對稱加密。

常用算法

• DES

• AES

AES 是 DES 的升級版，密鑰長度更長，選擇更多，也更靈活，安全性更高，速度更快。

優(yōu)點

算法公開、計算量小、加密速度快、加密效率高。

缺點

發(fā)送方和接收方必須商定好密鑰，然后使雙方都能保存好密鑰，密鑰管理成為雙方的負擔。

應用場景

相對大一點的數(shù)據(jù)量或關鍵數(shù)據(jù)的加密。

AES

AES 加密類庫在網(wǎng)上很容易找得到，請注意類庫中的 mcrypt_encrypt 和 mcrypt_decrypt 方法！

image

image

在 PHP7.2 版本中已經(jīng)被棄用了，在新版本中使用 openssl_encrypt 和 openssl_decrypt 兩個方法。

示例代碼（類庫）：

image

示例代碼：

image

運行結果：

image

非對稱加密

定義

需要兩個密鑰來進行加密和解密，這兩個秘鑰分別是公鑰（public key）和私鑰（private key），這種方法稱為非對稱加密。

常用算法

• RSA

優(yōu)點

與對稱加密相比，安全性更好，加解密需要不同的密鑰，公鑰和私鑰都可進行相互的加解密。

缺點

加密和解密花費時間長、速度慢，只適合對少量數(shù)據(jù)進行加密。

應用場景

適合于對安全性要求很高的場景，適合加密少量數(shù)據(jù)，比如支付數(shù)據(jù)、登錄數(shù)據(jù)等。

RSA 與 RSA2

RSA2 比 RSA 有更強的安全能力。

螞蟻金服，新浪微博 都在使用 RSA2 算法。

創(chuàng)建公鑰和私鑰：

1.  `openssl genrsa -out private_key.pem 2048`

2.  `openssl rsa -in private_key.pem -pubout -out public_key.pem`

執(zhí)行上面命令，會生成 private_key.pem 和 public_key.pem 兩個文件。

示例代碼（類庫）：

image

示例代碼：

image

運行結果：

部分數(shù)據(jù)截圖如下：

image

JS-RSA

JSEncrypt ：用于執(zhí)行OpenSSL RSA加密、解密和密鑰生成的Javascript庫。

Git源：https://github.com/travist/jsencrypt

應用場景：

我們在做 WEB 的登錄功能時一般是通過 Form 提交或 Ajax 方式提交到服務器進行驗證的。

為了防止抓包，登錄密碼肯定要先進行一次加密（RSA），再提交到服務器進行驗證。

一些大公司都在使用，比如淘寶、京東、新浪 等。

示例代碼就不提供了，Git上提供的代碼是非常完善的。

密鑰安全管理

這些加密技術，能夠達到安全加密效果的前提是 密鑰的保密性。

實際工作中，不同環(huán)境的密鑰都應該不同（開發(fā)環(huán)境、預發(fā)布環(huán)境、正式環(huán)境）。

那么，應該如何安全保存密鑰呢？

環(huán)境變量

將密鑰設置到環(huán)境變量中，每次從環(huán)境變量中加載。

配置中心

將密鑰存放到配置中心，統(tǒng)一進行管理。

密鑰過期策略

設置密鑰有效期，比如一個月進行重置一次。

在這里希望大佬提供新的思路 ~

接口調試工具

Postman

一款功能強大的網(wǎng)頁調試與發(fā)送網(wǎng)頁 HTTP 請求的 Chrome插件。

這個不用多介紹，大家肯定都使用過。

SocketLog

Git源：https://github.com/luofei614/SocketLog

解決的痛點：

• 正在運行的API有Bug，不能在文件中使用var_dump進行調試，因為會影響到client的調用。將日志寫到文件中，查看也不是很方便。

• 我們在二次開發(fā)一個新系統(tǒng)的時候，想查看執(zhí)行了哪些Sql語句及程序的warning，notice等錯誤信息。

SocketLog，可以解決以上問題，它通過WebSocket將調試日志輸出到瀏覽器的console中。

使用方法

1. 安裝、配置Chrome插件

2. SocketLog服務端安裝

3. PHP中用SocketLog調試

4. 配置日志類型和相關參數(shù)

在線接口文檔

接口開發(fā)完畢，需要給請求方提供接口文檔，文檔的編寫現(xiàn)在大部分都使用Markdown格式。

也有一些開源的系統(tǒng)，可以下載并安裝到自己的服務器上。

也有一些在線的系統(tǒng)，可以在線使用同時也支持離線導出。

根據(jù)自己的情況，選擇適合自己的文檔平臺吧。

常用的接口文檔平臺：

• eolinker

• Apizza

• Yapi

• RAP2

• DOClever

擴展

一、在 HTTP 和 RPC 的選擇上，可能會有一些疑問，RPC框架配置比較復雜，明明用HTTP能實現(xiàn)為什么要選擇RPC？

下面簡單的介紹下 HTTP 與 RPC 的區(qū)別。

傳輸協(xié)議：

• HTTP 基于 HTTP 協(xié)議。

• RPC 即可以 HTTP 協(xié)議，也可以 TCP 協(xié)議。

HTTP 也是 RPC 實現(xiàn)的一種方式。

性能消耗：

• HTTP 大部分基于 JSON 實現(xiàn)的，序列化需要時間和性能。

• RPC 可以基于二進制進行傳輸，消耗性能少一點。

推薦一個像 JSON ，但比 JSON 傳輸更快占用更少的新型序列化類庫 MessagePack。

官網(wǎng)地址：https://msgpack.org/

還有一些服務治理、負載均衡配置的區(qū)別。

使用場景：

比如瀏覽器接口、APP接口、第三方接口，推薦使用 HTTP。

比如集團內(nèi)部的服務調用，推薦使用 RPC。

RPC 比 HTTP 性能消耗低，傳輸效率高，服務治理也方便。

推薦使用的 RPC 框架：Thrift。

二、動態(tài)令牌

簡單介紹下幾種動態(tài)令牌，感興趣的可以深入了解下。

OTP：One-Time Password 一次性密碼。

HOTP：HMAC-based One-Time Password 基于HMAC算法加密的一次性密碼。

TOTP：Time-based One-Time Password 基于時間戳算法的一次性密碼。

使用場景：

• 公司VPN登錄雙因素驗證

• 服務器登錄動態(tài)密碼驗證

• 網(wǎng)銀、網(wǎng)絡游戲的實體動態(tài)口令牌

• 銀行轉賬動態(tài)密碼

• ...

小結

本文講了設計簽名驗證需要滿足的一些條件：可變性、時效性、唯一性、完整性。

還講了一些加密方法：單向散列加密、對稱加密、非對稱加密，同時分析了各種加密方法的優(yōu)缺點，大家可以根據(jù)自己的業(yè)務特點進行自由選擇。

提供了 Aes、Rsa 相關代碼示例。

分享了可以編寫接口文檔的在線系統(tǒng)。

分享了開發(fā)過程中使用的接口調試工具。

擴展中分析了 HTTP 和 RPC 的區(qū)別，動態(tài)令牌的介紹等。

還提出了一個問題，關于如何安全的進行密鑰管理？ 歡迎各位 前輩/大佬，提供新的思路 ~