微服务实战系列之API加密

news2025/2/27 8:30:18

前言

随着一阵阵凛冽寒风的呼啸，新的年轮不知不觉滚滚而来。故事随着2023的远去，尘封于案底；希望迎着新年，绽放于枝头。在2024新岁启航，扬帆破浪之时，让烦恼抛洒于九霄，让生机蓬勃于朝朝暮暮。

2024，博主祝福各位盆友，书写新的人生，获得新的希望！

在这里插入图片描述

新年开篇第一博，希望带给各位盆友新的收获。“踏破铁鞋无觅处，博主文章可驻足”，此刻的我，不禁沾沾自喜…

废话少叙，言归正传。今日，我们开始新的旅程，微服务实战系列继续乘势而上，博主该谈谈API安全的“那些事儿”了。

一、API

什么是API？请先了解来自百度百科的定义：

应用程序编程接口（Application Programming Interface，简称：API），是一些预先定义的函数，目的是提供应用程序与开发人员基于某软件或硬件得以访问一组例程的能力，而又无需访问源码，或理解内部工作机制的细节。——百度百科

通俗讲，就是一个面向开发者使用的接口或程序。既然是API，那么一定是具备某些能力，所谓“麻雀虽小五脏俱全”。

在这里插入图片描述

但凡是API，必定涉及数据安全问题。因为API本质是完成“以数易数”的过程。这个过程中一般会遇到诸如以下安全问题：

1、数据泄密

我们说数据有多“敏感”，责任有多严重，这力不再赘述。

2、数据劫持

API请求过程中，被黑客劫持数据报文后，后果不堪设想。

3、恶意调用

恶意调用其实是饱和攻击的一种，直至系统服务瘫痪，会造成严重的经济损失。

二、API安全

针对以上API安全风险，我们显然已具备针对性的防范措施和能力。
具体有：

  1. 采用HTTPS协议传输
  2. 数据加密
  3. 数据签名
  4. 限流降级
    …

以上措施，均可有效提高API的风险壁垒，“防火于未燃”。而今天博主重点讲一讲其中的第2点，即数据加密是如何完成的。其他内容可回看博主历史文章，均有涉猎。

三、API数据加密

首先，API数据加密，是针对传输过程中的请求报文和返回报文而言的。API的请求过程，其实是一次两端（C/S）通信的过程，所以涉及数据的传输安全。

如何保障传输安全，加密是一个不错的选择。实现的核心逻辑，可参考下图：
在这里插入图片描述
基于SpringBoot的开发框架，我们通常选择AOP，以注解的方式，完成以上逻辑实现。接下来，博主提供相关实现代码，以供参考。

1、引入依赖

本文加密机制，使用了jasypt-spring-boot-starter，务必添加以下依赖：

<dependency>
    <groupId>com.github.ulisesbocchio</groupId>
    <artifactId>jasypt-spring-boot-starter</artifactId>
    <version>3.0.5</version>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
</dependency>

2、定义注解

首先需要准备2个注解，分别如下：

注解名称注解简介
Encrypt用于请求体的加密注解
Decrypt用于返回体的解密注解
2.1 Encrypt 代码参考：
import java.lang.annotation.ElementType;
import java.lang.annotation.Retention;
import java.lang.annotation.RetentionPolicy;
import java.lang.annotation.Target;

//加密
@Retention(RetentionPolicy.RUNTIME)
@Target(ElementType.METHOD)
public @interface Encrypt {
}
2.2 Decrypt 代码参考：
import java.lang.annotation.ElementType;
import java.lang.annotation.Retention;
import java.lang.annotation.RetentionPolicy;
import java.lang.annotation.Target;

//解密
@Retention(RetentionPolicy.RUNTIME)
@Target({ElementType.METHOD,ElementType.PARAMETER})
public @interface Decrypt {
}

3、定义AOP

3.1 返回体加密Advice（EncryptResponse）

一句话总结：通过将返回体（response）转换为String，实现数据加密。

import org.springframework.core.MethodParameter;
import org.springframework.http.MediaType;
import org.springframework.http.converter.HttpMessageConverter;
import org.springframework.http.server.ServerHttpRequest;
import org.springframework.http.server.ServerHttpResponse;
import org.springframework.web.bind.annotation.ControllerAdvice;
import org.springframework.web.servlet.mvc.method.annotation.ResponseBodyAdvice;
import cn.hutool.json.JSONUtil;

/**
 * @description:加密
 * @date 2024/01/06 14:02
 */
@ControllerAdvice
public class EncryptResponse implements ResponseBodyAdvice<Object> {

    public EncryptResponse() {}

    public boolean supports(MethodParameter returnType, Class<? extends HttpMessageConverter<?>> converterType) {
        return returnType.hasMethodAnnotation(Encrypt.class);
    }

	@Override
	public Object beforeBodyWrite(Object res, MethodParameter returnType,
			MediaType selectedContentType, Class<? extends HttpMessageConverter<?>> selectedConverterType,
			ServerHttpRequest request, ServerHttpResponse response) {
    	try {
    		String content =  JSONUtil.toJsonStr(JSONUtil.parseObj(res, false));
    		//加密算法，自选，可以是AES,可以是RSA...
            String encryptResBody = AesEncryptUtils.encrypt(content, Constants.AESKEY);
            return encryptResBody;
        } catch (Exception e) {
            e.printStackTrace();
        }
    	return res;	
    }
}
3.2 请求体解密Advice（DecryptRequest）

一句话总结：通过将请求体（request）转换为字节流，实现数据解密。

import java.io.ByteArrayInputStream;
import java.io.IOException;
import java.io.InputStream;
import java.lang.reflect.Type;

import org.springframework.core.MethodParameter;
import org.springframework.http.HttpHeaders;
import org.springframework.http.HttpInputMessage;
import org.springframework.http.converter.HttpMessageConverter;
import org.springframework.web.bind.annotation.ControllerAdvice;
import org.springframework.web.servlet.mvc.method.annotation.RequestBodyAdviceAdapter;

/**
 * @description:解密
 * @date 2024/01/06 14:35
 */
@ControllerAdvice
public class DecryptRequest extends RequestBodyAdviceAdapter {

    public DecryptRequest() {}

    public boolean supports(MethodParameter methodParameter, Type targetType, Class<? extends HttpMessageConverter<?>> converterType) {
        return methodParameter.hasMethodAnnotation(Decrypt.class) || methodParameter.hasParameterAnnotation(Decrypt.class);
    }

    public HttpInputMessage beforeBodyRead(final HttpInputMessage inputMessage, MethodParameter parameter, Type targetType, Class<? extends HttpMessageConverter<?>> converterType) throws IOException {
        byte[] body = new byte[inputMessage.getBody().available()];
        inputMessage.getBody().read(body);
        try {
            //解密算法，自选，可以是AES,可以是RSA...
        	byte[] decrypt = AesEncryptUtils.decrypt(new String(body,Constants.UTF8),Constants.AESKEY).getBytes();
            final ByteArrayInputStream bais = new ByteArrayInputStream(decrypt);
            return new HttpInputMessage() {
                public InputStream getBody() throws IOException {
                    return bais;
                }
                public HttpHeaders getHeaders() {
                    return inputMessage.getHeaders();
                }
            };
        } catch (Exception e) {
            e.printStackTrace();
            return super.beforeBodyRead(inputMessage, parameter, targetType, converterType);
        }
    }
}

3、使用注解

完成以上注解实现， 即可满足API的加密需求了。

如何使用？那不就简单了…直接在Controller的接口中使用注解即可，可参考：

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RequestBody;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;
import lombok.extern.slf4j.Slf4j;

/**
 * @description: API加密
 * @date 2024/01/06 15:58
 */
@Slf4j
@RestController
@RequestMapping("/api")
public class TestController
{
	@Encrypt
	@Decrypt
    @PostMapping("/getData")
    public Object getData(@RequestBody String input)
    {
    	// TODO
    }
}

四、AES算法

本文使用的加密算法是基于AES完成，博主分享大家（已解决已知问题，比如长度不足128，支持分段），供参考：


import java.security.SecureRandom;
import javax.crypto.Cipher;
import javax.crypto.KeyGenerator;
import javax.crypto.SecretKey;
import javax.crypto.spec.SecretKeySpec;
import org.apache.commons.codec.binary.Base64;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;

/**
 * AES加解密
 */
public class AesEncryptUtils {
    private static Logger log = LoggerFactory.getLogger(AesEncryptUtils.class);

    private static final String ALGORITHMSTR = "AES/ECB/PKCS5Padding";
    private static final String KEY = "1234567890abcdef";//可支持128位长度
    private static final String AES = "AES";

    /**
     * 解密算法
     */
    public static  String decrypt(String decryptStr, String decryptKey) {
        try {

            KeyGenerator kgen = KeyGenerator.getInstance(AES);
            SecureRandom secureRandom = SecureRandom.getInstance("SHA1PRNG");
            secureRandom.setSeed(decryptKey.getBytes());

            kgen.init(128, secureRandom);
            SecretKey secretKey = kgen.generateKey();

            Cipher cipher = Cipher.getInstance(ALGORITHMSTR);
            cipher.init(Cipher.DECRYPT_MODE, new SecretKeySpec(secretKey.getEncoded(), AES));

            //采用base64算法进行转码，避免出现中文乱码
            byte[] encryptBytes = Base64.decodeBase64(decryptStr);
            byte[] decryptBytes = cipher.doFinal(encryptBytes);
            return new String(decryptBytes);
        }catch (Exception e){
            log.error("decryptNew({} , {})解密异常", decryptStr, decryptKey, e);
        }

        return null;
    }

	/**
     * 加密算法
     */
    public static  String encrypt(String encryptStr, String encryptKey) {
        try {
            KeyGenerator kgen = KeyGenerator.getInstance(AES);

            SecureRandom secureRandom = SecureRandom.getInstance("SHA1PRNG");
            secureRandom.setSeed(encryptKey.getBytes());

            kgen.init(128,secureRandom);
            SecretKey secretKey = kgen.generateKey();

            Cipher cipher = Cipher.getInstance(ALGORITHMSTR);
            cipher.init(Cipher.ENCRYPT_MODE, new SecretKeySpec(secretKey.getEncoded(), AES));
            byte[] b = cipher.doFinal(encryptStr.getBytes("utf-8"));
            //采用base64算法进行转码，避免出现中文乱码
            return Base64.encodeBase64String(b);
        }catch (Exception e){
            log.error("encryptNew({} , {})加密异常", encryptStr, encryptKey, e);
        }

        return null;
    }

    public static void main (String[] args) throws Exception{
		String content = "今天是2024年1月6日";
		
		String encrypt1 = encrypt(str , KEY);
        System.out.println("加密后：" + encrypt1);

        String decrypt1 = decrypt(encrypt1 , KEY);
        System.out.println("解密后：" + decrypt1);
    }
}

结语

本文通过对API安全问题进行粗浅探讨，并从常用的数据加密措施入手，提供相关操作规范和指导，希望各位盆友有所收获。如需进一步了解，可留言，欢迎大家订阅与指正!

2024首篇博文，正式发布喽！！！

历史回顾
  • 微服务实战系列之Dubbo（下）
  • 微服务实战系列之Dubbo（上）
  • 微服务实战系列之ZooKeeper（实践篇）
  • 微服务实战系列之ZooKeeper（下）
  • 微服务实战系列之ZooKeeper（中）
  • 微服务实战系列之ZooKeeper（上）
  • 微服务实战系列之MQ
  • 微服务实战系列之通信
  • 微服务实战系列之J2Cache
  • 微服务实战系列之Cache（技巧篇）
  • 微服务实战系列之MemCache
  • 微服务实战系列之EhCache
  • 微服务实战系列之Redis
  • 微服务实战系列之Cache
  • 微服务实战系列之Nginx（技巧篇）
  • 微服务实战系列之Nginx
  • 微服务实战系列之Feign
  • 微服务实战系列之Sentinel
  • 微服务实战系列之Token
  • 微服务实战系列之Nacos
  • 微服务实战系列之Gateway
  • 微服务实战系列之加密RSA
  • 微服务实战系列之签名Sign

在这里插入图片描述

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1361718.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

Java 将Excel转换为TXT文本格式

Java 将Excel转换为TXT文本格式

TXT文件是一种非常简单、通用且易于处理的文本格式。在处理大规模数据时&#xff0c;将Excel转为TXT纯文本文件可以提高处理效率。此外&#xff0c;许多编程语言和数据处理工具都有内置的函数和库来读取和处理TXT文件&#xff0c;因此将Excel文件转换为TXT还可以简化数据导入过…
阅读更多...
继续理解Nacos的CP和AP架构模型！

继续理解Nacos的CP和AP架构模型！

本篇文章延续文章“如何理解Nacos册CP和AP架构模型”&#xff0c;大家可以配套一起学习。 Nacos注册中心处理HTTP注册请求 在文章“如何理解Nacos册CP和AP架构模型”中已经提到过&#xff0c;Nacos注册中心用Restful API InstanceController的方法register()处理HTTP类型的注…
阅读更多...
瑞数4——MmEwMD逆向分析

瑞数4——MmEwMD逆向分析

瑞数4——MmEwMD逆向分析 提示简介定位入口MmEwMD生成所需参数分析MmEwMD生成的大致流程第一部分生成(所需三个参数)第一部分生成的值赋值给另一个变量第二部分生成并与第一部分拼接最终的结果与MmEwMD拼接 第一部分生成的逆向分析&#xff08;所需参数&#xff1a;数组a、数字…
阅读更多...
Linux第17步_安装SSH服务

Linux第17步_安装SSH服务

secure shell protocol简称SSH。 目的&#xff1a;在进行数据传输之前&#xff0c;SSH先对联级数据包通过加密技术进行加密处理&#xff0c;然后再进行数据传输&#xff0c;确保数据传输安全。 1、在安装前&#xff0c;要检查虚拟机可以上网&#xff0c;否则可能会导致安装失…
阅读更多...
C++内容补充--面向对象篇

C++内容补充--面向对象篇

类和对象 类中静态成员不占用类的大小 也就不占用类的对象的大小 只有一个类壳子的时候 类和对象的大小都是1 当类中只有一个int数据的时候 类和对象的大小都是4 当类中有int数据以及一个静态变量的时候 类和对象的大小还是4 变量存储类以及对象的存储类 所有的局部变量默认…
阅读更多...
Linux上传、下载、rz、sz命令

Linux上传、下载、rz、sz命令

一、上传下载 我们可以通过finalshell工具方便地和虚拟机进行数据交换 在finalshell软件的下方窗体中&#xff0c;提供了Linux的文件系统视图 点击下载就可以下载了 如果想通过root权限&#xff0c;那么需要在编辑器中更换用户名&#xff1a; 上传&#xff1a;直接把windows…
阅读更多...
C#，入门教程(08)——基本数据类型及使用的基础知识

C#，入门教程(08)——基本数据类型及使用的基础知识

上一篇&#xff1a; C#&#xff0c;入门教程(07)——软件项目的源文件与目录结构https://blog.csdn.net/beijinghorn/article/details/124139947 数据类型用于指定数据体&#xff08;DataEntity&#xff0c;包括但不限于类或结构体的属性、变量、常量、函数返回值&#xff09;…
阅读更多...
架构的本质是什么？

架构的本质是什么？

最近总是有小伙伴问我&#xff0c;如何成长为一名优秀的架构师&#xff0c;我也不知道该如何去回答&#xff0c;但是我想聊一下架构的本质。 架构不是互联网行业独有的 架构及对应的架构师职位并不是互联网行业独有的&#xff0c;只要存在组织的地方就存在架构。 比如一个木…
阅读更多...
企业出海数据合规：GDPR中的个人数据与非个人数据之区分

企业出海数据合规：GDPR中的个人数据与非个人数据之区分

GDPR仅适用于个人数据&#xff0c;这意味着非个人数据不在其适用范围内。因此&#xff0c;个人数据的定义是一个至关重要的因素&#xff0c;因为它决定了处理数据的实体是否要遵守该法规对数据控制者规定的各种义务。尽管如此&#xff0c;什么是个人数据仍然是当前数据保护制度…
阅读更多...
用通俗易懂的方式讲解：LSTM原理及生成藏头诗（Python）

用通俗易懂的方式讲解：LSTM原理及生成藏头诗（Python）

一、基础介绍 1.1 神经网络模型 常见的神经网络模型结构有前馈神经网络(DNN)、RNN&#xff08;常用于文本 / 时间系列任务&#xff09;、CNN&#xff08;常用于图像任务&#xff09;等等。 前馈神经网络是神经网络模型中最为常见的&#xff0c;信息从输入层开始输入&#xf…
阅读更多...
SpringBoot 调用mybatis报错：Invalid bound statement (not found):

SpringBoot 调用mybatis报错：Invalid bound statement (not found):

启动SpringBoot报错&#xff1a;Invalid bound statement (not found): 参考此文排查 命中了第6条 记录一手坑爹的Invalid bound statement (not found)&#xff08;六个方面&#xff09; mapper文件路径配置错误 订正以后 问题解决
阅读更多...
项目从npm迁移到pnpm

项目从npm迁移到pnpm

场景如下&#xff1a;在安装Vue3时默认为使用Npm安装&#xff0c;如图所示&#xff1a; 安装完后项目就包含了基于NPM的node_modules、package.json&#xff0c;以及package-lock.json 如果想使用pnpm去安装依赖项的话&#xff0c;可以通过如下几个步骤实现&#xff1a; ①删…
阅读更多...
基于R语言（SEM）结构方程模型教程

基于R语言（SEM）结构方程模型教程

详情点击链接&#xff1a;基于R语言&#xff08;SEM&#xff09;结构方程模型教程 01、R/Rstudio (2)R语言基本操作&#xff0c;包括向量、矩阵、数据框及数据列表等生成和数据提取等 (3)R语言数据文件读取、整理&#xff08;清洗&#xff09;、结果存储等&#xff08;含tidve…
阅读更多...
JAVA中小型医院信息管理系统源码 医院系统源码

JAVA中小型医院信息管理系统源码 医院系统源码

开发框架&#xff1a;SpringBootJpathymeleaf 搭建环境&#xff1a;jdk1.8idea/eclipsemaven3mysql5.6 基于SpringBoot的中小型医院信息管理系统&#xff0c;做的比较粗糙&#xff0c;但也实现了部分核心功能。 就诊卡提供了手动和读卡两种方式录入&#xff0c;其中IC读卡器使用…
阅读更多...
跟随chatgpt从零开始安装git（Windows系统）

跟随chatgpt从零开始安装git（Windows系统）

为什么我们要安装Git&#xff1f;Git有什么用&#xff1f; 1. 版本控制&#xff1a;Git 可以追踪代码的所有变化&#xff0c;记录每个提交的差异&#xff0c;使您能够轻松地回溯到任何历史版本或比较不同版本之间的差异。 2. 分支管理&#xff1a;通过 Git 的分支功能&#xff…
阅读更多...
【C语言：可变参数列表】

【C语言：可变参数列表】

文章目录 1.什么是可变参数列表2.可变参数列表的分析与使用2.1使用2.2分析原理2.3分析原码 1.什么是可变参数列表 对于一般的函数而言&#xff0c;参数列表都是固定的&#xff0c;而且各个参数之间用逗号进行分开。这种函数在调用的时候&#xff0c;必须严格按照参数列表中参数…
阅读更多...
云卷云舒：【实战篇】Redis迁移

云卷云舒：【实战篇】Redis迁移

1. 简介 Remote Dictionary Server(Redis)是一个由Salvatore Sanfilippo写的key-value存储系统&#xff0c;是一个开源的使用ANSIC语言编写、遵守BSD协议、支持网络、可基于内存亦可持久化的日志型、Key-Value数据库&#xff0c;并提供多种语言的API。 2. 迁移原理 redis-sh…
阅读更多...
src refspec master does not match any

src refspec master does not match any

新项目推送至 Git 空仓库时抛出如下异常 src refspec master does not match any 初始化 init 都做了但反复尝试 git push -u origin master 均无果 后发现权限不够 .... 起初设置为开发者,后变更为了主程序员再次尝试 push 成功 .... 以上便是此次分享的全部内容&#xff0c;…
阅读更多...
Pandas数据可视化

Pandas数据可视化

pandas库是Python数据分析的核心库 它不仅可以加载和转换数据&#xff0c;还可以做更多的事情&#xff1a;它还可以可视化 pandas绘图API简单易用&#xff0c;是pandas流行的重要原因之一 Pandas 单变量可视化 单变量可视化&#xff0c; 包括条形图、折线图、直方图、饼图等 …
阅读更多...
记一次服务器被入侵的排查过程

记一次服务器被入侵的排查过程

起因 阿里云安全中心报告了告警信息&#xff0c;同时手机短信、邮件、电话也接收到了来自阿里云的风险通知&#xff0c;感觉这方面阿里云还是不错。 排查及解决过程 这条wget指令究竟是怎么被运行的 我无法定位到攻击人员是通过什么样的方式让我的java程序执行了wget这条指…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023