概述
前后端分离的项目中,数据交互都通过接口交互,接口的安全性很重要，对于传输的数据进行加密解密是很有必要的。
如何保证API调用时数据的安全性:
- 通信使用https
- 请求签名，防止参数被篡改
- 身份确认机制，每次请求都要验证是否合法
- APP中使用ssl pinning防止抓包操作
- 对所有请求和响应都进行加解密操作
Springboot中使用AES对称算法加密解密数据
1.在pom.xml文件中加入依赖
<dependency>
<groupId>commons-codec</groupId>
<artifactId>commons-codec</artifactId>
<version>1.10</version>
</dependency>
- 创建com.zhlab.demo.encrypt包,存放加解密核心代码
代码不一一讲解了，目录如下:
- 加解密工具核心类:AesEncryptUtil.java
package com.zhlab.demo.encrypt.utils;
import org.apache.tomcat.util.codec.binary.Base64;
import javax.crypto.Cipher;
import javax.crypto.KeyGenerator;
import javax.crypto.spec.SecretKeySpec;
import java.nio.charset.StandardCharsets;
/**
* @ClassName AesEncryptUtil
* @Description //AES加密解密工具
* @Author singleZhang
* @Email 405780096@qq.com
* @Date 2021/1/7 0007 下午 3:28
**/
public class AesEncryptUtil {
private static final String KEY = "d7b85f6e214abcda";
private static final String ALGORITHM_STR = "AES/ECB/PKCS5Padding";
public static String base64Encode(byte[] bytes) {
return Base64.encodeBase64String(bytes);
}
public static byte[] base64Decode(String base64Code) throws Exception {
return Base64.decodeBase64(base64Code);
}
public static byte[] aesEncryptToBytes(String content, String encryptKey) throws Exception {
KeyGenerator kgen = KeyGenerator.getInstance("AES");
kgen.init(128);
Cipher cipher = Cipher.getInstance(ALGORITHM_STR);
cipher.init(Cipher.ENCRYPT_MODE, new SecretKeySpec(encryptKey.getBytes(), "AES"));
return cipher.doFinal(content.getBytes(StandardCharsets.UTF_8));
}
public static String aesEncrypt(String content, String encryptKey) throws Exception {
return base64Encode(aesEncryptToBytes(content, encryptKey));
}
public static String aesDecryptByBytes(byte[] encryptBytes, String decryptKey) throws Exception {
KeyGenerator kgen = KeyGenerator.getInstance("AES");
kgen.init(128);
Cipher cipher = Cipher.getInstance(ALGORITHM_STR);
cipher.init(Cipher.DECRYPT_MODE, new SecretKeySpec(decryptKey.getBytes(), "AES"));
byte[] decryptBytes = cipher.doFinal(encryptBytes);
return new String(decryptBytes, StandardCharsets.UTF_8);
}
public static String aesDecrypt(String encryptStr, String decryptKey) throws Exception {
return aesDecryptByBytes(base64Decode(encryptStr), decryptKey);
}
// TODO TEST
public static void main(String[] args) throws Exception {
String content = "SingleZhang2021";
System.out.println("加密前：" + content);
String encrypt = aesEncrypt(content, KEY);
System.out.println(encrypt.length() + ":加密后：" + encrypt);
String decrypt = aesDecrypt(encrypt, KEY);
System.out.println("解密后：" + decrypt);
}
}
- 前端如果是web,需要一个js加密包crypto-js.js来实现AES加密
前端部分代码如下:
var key = CryptoJS.enc.Utf8.parse("abcdef0123456780");
//加密
function Encrypt(word) {
var srcs = CryptoJS.enc.Utf8.parse(word);
var encrypted = CryptoJS.AES.encrypt(srcs, key, {
mode: CryptoJS.mode.ECB,
padding: CryptoJS.pad.Pkcs7
});
return encrypted.toString();
}
//解密
function Decrypt(word) {
var decrypt = CryptoJS.AES.decrypt(word, key, {
mode: CryptoJS.mode.ECB,
padding: CryptoJS.pad.Pkcs7
});
return CryptoJS.enc.Utf8.stringify(decrypt).toString();
}
- 在接口中，通过注解来选择性加解密,可以避免性能降低的风险
/**
* post请求->一个参数使用@Decrypt注解解密
*
* @param username
* @return
* @throws Exception
*/
@Encrypt
@Decrypt
@PostMapping("/postStrData2")
public String postStrData2(@RequestBody String username) throws Exception {
System.out.println("username: " + username);
return "加密字符串";
}
/**
* post请求->发送并获取实体类数据,使用@Decrypt注解解密
*/
@Encrypt
@Decrypt
@PostMapping("/encryptDto")
public UserDto encryptDto(@RequestBody UserDto dto) {
System.err.println(dto.getId() + "\t" + dto.getName());
return dto;
}
- 在启动类上加上@EnableEncrypt 注解
@EnableEncrypt
@SpringBootApplication(exclude = { DataSourceAutoConfiguration.class })
public class DemoApplication {
public static void main(String[] args) {
SpringApplication.run(DemoApplication.class, args);
}
}
好了,做完以上的工作,请求接口的数据就相对比之前安全许多,至少对一些爬虫工程师会造成一点困扰。
代码已传git
https://gitee.com/kaixinshow/springboot-note 16Springboot-encrypt
非对称加密算法思路
这个留给大家自己去动手实践,思路如下:
1、客户端启动，发送请求到服务端，服务端用RSA算法生成一对公钥和私钥，我们简称为publickey1,privatekey1，将公钥publickey1返回给客户端。
2、客户端拿到服务端返回的公钥publickey1后，自己用RSA算法生成一对公钥和私钥，我们简称为publickey2,privatekey2，并将公钥publickey2通过公钥publickey1加密，加密之后传输给服务端。
3、此时服务端收到客户端传输的密文，用私钥privatekey1进行解密，因为数据是用公钥publickey1加密的，通过解密就可以得到客户端生成的公钥publickey2
4、然后自己在生成对称加密，也就是我们的AES,其实也就是相对于我们配置中的那个16的长度的加密key,生成了这个key之后我们就用公钥publickey2进行加密，返回给客户端，因为只有客户端有publickey2对应的私钥privatekey2，只有客户端才能解密，客户端得到数据之后，用privatekey2进行解密操作，得到AES的加密key,最后就用加密key进行数据传输的加密
加签验签概念
加签：
用Hash函数把原始报文生成报文摘要，然后用私钥对这个摘要进行加密，就得到这个报文对应的数字签名。通常来说呢，请求方会把「数字签名和报文原文」一并发送给接收方。
验签：
接收方拿到原始报文和数字签名后，用同一个Hash函数从报文中生成摘要A。另外，用对方提供的公钥对数字签名进行解密，得到摘要B，对比A和B是否相同，就可以得知报文有没有被篡改过。
这里以简单的md5为例:
将请求参数中的各个键值对按照key的字符串顺序升序排列（大小写敏感），把key和value拼成一串之后最后加上密钥，组成key1value1key2value2PRIVATEKEY的格式，转成utf-8编码的字节序列后计算md5，作为请求的签名。计算出来的签名串应当全为小写形式。如果某个参数的值为空，则此参数不参与签名。
例如，C为客户端，S为服务器端。C向S发出请求,C传的参数有A=a,B=b,C=c，除此之外，还需要传递一个签名摘要参数sign。sign = md5(AaBbCc+PRIVATEKEY) 其中+表示字符串连接，md5算法，可以替换为一些更为复杂的签名算法，其中PRIVATEKEY是双方商定好的私钥.
服务器端用同样的方法来进行签名验证。这里最好加上timestamp时间戳和nonce随机字符串。
总结
这些加解密对于算力有要求，会消耗性能，对于重要数据的接口才考虑加密操作。
