目录
作用原理问题问题1解决办法问题2解决办法代码觉得废话多的话,可以直接看代码
作用
防止有人不停的刷接口,对接口作限制
(资料图片)
比如说,登录接口,按道理说,应该只有app会请求这个接口
但是,如果有人抓取app的请求,就会得到登录接口的地址和请求参数
如果他写了个脚本,不断的访问登录接口,去测登录名密码,那么有些有些用户的密码策略过于简单,是很容易被试出来的
所以,接口签名就是专门用来限制这个的,只有app(自己人)才能通过校验
原理
1.服务器和app,各自存储一个相同的秘钥
2.app请求时,把传的参数用秘钥进行加密,生成一个sign签名,一同传递过去
3.服务器接到请求后,也会对传递的参数进行加密,也生成一个sign签名,拿服务器生成的sign和接口请求的sing比对一下,如果相同,那么就可以证明,是自己人请求的,就予以放行
因为这个秘钥,只有自己人才会有,同样的秘钥生成的sign签名,肯定是一模一样的
这个秘钥,一般是开发的时候,线下给到app开发,集成编译到app里面的
问题
举例,app和服务器,各自保存了一个秘钥,进行签名验证
1.app请求登录接口,账号名为abcd,密码为123456,
2.app对账户名和密码用秘钥加密生成签名,去请求登录接口
3.服务器收到请求,对账号名和密码也用秘钥加密生成签名,对比发现签名一致,然后予以通过
4.请求成功
问题1
但是,如果下次app还去请求登录的时候,生成的签名,是不是还是一模一样?
因为都是对账号和密码加密生成签名,那么只要账号和密码不变,那么生成的签名肯定是一模一样的
那如果坏人直接抓包拿到签名、账号和密码,是不是他也可以仿造登录请求,要知道,服务器只接受请求,他是分辨不出来的
所以,即使是相同的账号和密码,也要保证,每次的签名都不一致
解决办法
在对账号和密码进行加密的时候,生成当前时间的时间戳,一起加密,这样就保证了每次生成的签名都一样了
传递参数的时候,也需要把加密用的时间戳一同传递过去,因为请求时候延迟的,服务器并不知道你是哪个时间进行加密的
那么现在生成签名和请求的步骤就是:
1.app先对账号、密码、时间戳,用秘钥进行加密得到签名
2.app请求登录接口,传参:账号、密码、时间戳、签名
问题2
那么问题又来了,跟刚才的问题一样,如果有人抓包,得到账号、密码、时间戳、签名,然后去伪造请求,是不是服务器还会通过?
只要账号、密码、时间戳不变化,那么生成的签名,还是一模一样的。
解决办法
服务器对时间戳进行校验,与当前时间不能相差10秒
这样就保证了,这个签名的有效期只有10秒,过了10秒后,就失效了
如果想要新的签名,那么就需要用新的时间戳了
代码
如果需要传递很多参数的时候,还需要对参数进行排序后再加密,要不然app和服务器用了不一样的字符串加密,校验还是会失败的
import hashlib import time salt = "nx24Tej@R4gWVCopJkjHWjBo@n58LdQ5" # 盐, 加密生成签名的秘钥 def validate_sign(sign, ts, **kwargs): """时间戳有效期10秒,排序顺序为:盐+时间戳+按照字母排序的参数的值""" # 首先判断ts时间戳,有没有超过10秒有效期 now_ts = int(time.time()) if now_ts - int(ts) > 10: return False # 对字典中的键进行排序 sort_dict = sorted(kwargs.items(), key=lambda x: x[0]) # 按照排序拿出值,拼接成字符串,然后加密生成签名 s = salt + str(ts) for key, value in sort_dict: s += str(value) # 使用sha256加密,与app也要约定好加密方式 new_sign = hashlib.sha256(s.encode("utf-8")).hexdigest() # 比对签名是否一致 if sign == new_sign: return True return False validate_sign(1, int(time.time()), phone="15555555555", password="123456") # 排序后的字符串:nx24Tej@R4gWVCopJkjHWjBo@n58LdQ5167541269212345615555555555 # 生成的签名: d87f2833c1f6a1d0d3c67bafdeb0965b0503385dce615662229b27333c9963f7
到此这篇关于Flask接口签名sign原理与实例代码浅析的文章就介绍到这了,更多相关Flask接口签名sign内容请搜索脚本之家以前的文章或继续浏览下面的相关文章希望大家以后多多支持脚本之家!
X 关闭
X 关闭
- 15G资费不大降!三大运营商谁提供的5G网速最快?中国信通院给出答案
- 2联想拯救者Y70发布最新预告:售价2970元起 迄今最便宜的骁龙8+旗舰
- 3亚马逊开始大规模推广掌纹支付技术 顾客可使用“挥手付”结账
- 4现代和起亚上半年出口20万辆新能源汽车同比增长30.6%
- 5如何让居民5分钟使用到各种设施?沙特“线性城市”来了
- 6AMD实现连续8个季度的增长 季度营收首次突破60亿美元利润更是翻倍
- 7转转集团发布2022年二季度手机行情报告:二手市场“飘香”
- 8充电宝100Wh等于多少毫安?铁路旅客禁止、限制携带和托运物品目录
- 9好消息!京东与腾讯续签三年战略合作协议 加强技术创新与供应链服务
- 10名创优品拟通过香港IPO全球发售4100万股 全球发售所得款项有什么用处?