APP接口保護方案.doc

《APP接口保護方案.doc》由會員上傳分享，免費在線閱讀，更多相關(guān)內(nèi)容在教育資源-天天文庫。

1、APP接口保護文檔2015-07-27Jason1.問題對于后臺來說，調(diào)用URL時都會判斷session是否合法，所以即使別人知道后臺URL也無法調(diào)用。但是為移動端提供webservice接口就不一樣了。對移動端提供的接口都是RESTful風(fēng)格的無狀態(tài)接口，沒有傳統(tǒng)URL的session概念。如果只是在登錄時做身份驗證的話，相當于調(diào)用接口的權(quán)限由App控制。而在網(wǎng)絡(luò)上，所有接口都對外暴露，任何人只要知道URL了就能調(diào)用，試探，甚至通過接口修改數(shù)據(jù)庫。如下圖：所以在業(yè)務(wù)處理之前，登錄之前，都需要驗證請求是否由合法客戶端發(fā)出。2.全局私鑰APP_KEY首先，后臺和App端，共同

2、內(nèi)置一個全局私鑰APP_KEY，用于生成簽名，服務(wù)器收到接口請求時，先驗證簽名是否合法，再處理業(yè)務(wù)。3.登錄3.1過程說明3.1.1移動端和后臺內(nèi)置APP_KEY在app和后臺，內(nèi)置相同的APP_KEY。3.1.2移動端調(diào)用申LOGIN_TOKEN申請接口登錄界面，用戶輸入用戶名后，請求接口，申請LOGIN_TOKEN。3.1.3后臺生成并返回LOGIN_TOKEN后臺接收到LOGIN_TOKEN請求時，先查詢用戶名是否存在。如果存在，則查詢該用戶頭像，并為該用戶生成LOGIN_TOKEN，返回給移動端。TOKEN使用一次后將失效。3.1.4移動端顯示頭像，保存LOGIN_

3、TOKEN登錄界面，接收到后臺返回后，移動端顯示用戶頭像，并保存LOGIN_TOKEN。等待用戶輸入密碼。3.1.5移動端密碼加密登錄界面，用戶輸入密碼，點擊登錄按鈕后，將密碼加密。加密過程是：A將參數(shù)APP_KEY，LOGIN_TOKEN，PASSWORD(用戶密碼)按字母排序，參數(shù)中間用&符號連接。如APP_KEY=123&LOGIN_TOKEN=456&PASSWORD=789：B將排序之后的字符串用MD5加密，形成密碼密文。C銷毀本地的LOGIN_TOKEN。3.1.6移動端調(diào)用登錄接口將用戶賬號和密碼密文做為參數(shù)，調(diào)用登錄接口。3.1.7后臺登錄驗證后臺接收到登錄

4、請求后，先查詢用戶名對應(yīng)的LOGIN_TOKEN，并將此TOKEN設(shè)置為失效，然后按密碼加密邏輯生成密碼密文，用生成的密文跟接口參數(shù)里的密文對比，相同則登錄成功。3.1.8后臺生成API_TOKEN用戶登錄成功后，為該用戶生成API_TOKEN并返回。該TOKEN用于每次接口調(diào)用的身份驗證，過期時間由后臺控制。3.1.9移動端獲得登錄結(jié)果和API_TOKEN用戶登錄成功后，獲取并保存API_TOKEN。該TOKEN用于每次接口調(diào)用的身份驗證，過期時間由后臺控制。4.接口簽名驗證4.1過程說明4.1.1移動端生成簽名每次調(diào)用接口之前，都需要生成簽名。簽名生成規(guī)則如下：A將參數(shù)

5、APP_KEY，API_TOKEN，接口參數(shù)按首字母排序，參數(shù)中間用&符號連接。如API_TOKEN=456&APP_KEY=123&USERID=789：B將排序之后的字符串用MD5加密，形成用戶簽名。4.1.2移動端調(diào)用接口將簽名，接口參數(shù)，用戶名做為參數(shù)，調(diào)用接口。4.1.3后臺驗證簽名后臺接收到接口請求后，根據(jù)用戶名獲取PAI_TOKEN，然后按簽名規(guī)則生成簽名，并與接口參數(shù)簽名對比，如果對比相同，則執(zhí)行業(yè)務(wù)方法。