Java 開放api接口簽名驗證（MD5模式）

前言：當服務端對外提供API接口時，一般會對參數進行簽名來保證接口的安全性，在設計簽名算法的時候，主要考慮的是這幾個問題：

請求的來源是否合法
請求參數是否被篡改
請求的有效時間
請求的唯一性，防止重複請求

解決思路：

服務端和調用方協議好，提供app_key（簽名使用，不帶在參數中）和app_secret來驗證身份
將請求的所有參數按照字母先後順序排序後拼接再MD5加密保證請求參數不被篡改
在請求參數中帶上時間戳
爲防止重複提交，可使用Redis實現鎖（https://blog.csdn.net/u010096717/article/details/84562926）

僞代碼實現邏輯：

參數amount=9.99&productId=9885544154& secretKey=mysecret123456&userId=9527
加入時間戳後排序：str=amount=9.99&productId=9885544154&secretKey=mysecret123456&timestamp=1543249236539&userId=9527
然後再根據MD5(app_key+str)生成簽名（sign）,把這個簽名也帶到參數上
amount=9.99&productId=9885544154&secretKey=mysecret123456&sign=3b6981cf7093f04d87ce5057f58b32a3&userId=9527&timestamp=1543249236539

具體代碼實現

1.簽名工具類

package com.redis.sign;

import org.apache.commons.codec.digest.DigestUtils;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;

import java.io.UnsupportedEncodingException;
import java.net.URLEncoder;
import java.util.*;

/**
 * @Auther: cjw
 * @Date: 2018/11/20 17:40
 * @Description:
 */
public class SignUtil {

    private static Logger logger = LoggerFactory.getLogger(SignUtil.class);

    /** 加密密鑰 */
    private final static String APP_KEY = "mykey123456";

    public final static String SECRET_KEY = "mysecret123456";

    /** 字符編碼 */
    private final static String INPUT_CHARSET = "UTF-8";

    /** 超時時間 */
    private final static int TIME_OUT = 30*60*1000;



    /**
     * 請求參數Map轉換驗證Map
     * @param requestParams 請求參數Map
     * @param charset 是否要轉utf8編碼
     * @return
     * @throws UnsupportedEncodingException
     */
    public static Map<String,String> toVerifyMap(Map<String, String[]> requestParams, boolean charset) {
        Map<String,String> params = new HashMap<>();
        for (Iterator iter = requestParams.keySet().iterator(); iter.hasNext();) {
            String name = (String) iter.next();
            String[] values = requestParams.get(name);
            String valueStr = "";
            for (int i = 0; i < values.length; i++) {
                valueStr = (i == values.length - 1) ? valueStr + values[i] : valueStr + values[i] + ",";
            }
            //亂碼解決，這段代碼在出現亂碼時使用。如果mysign和sign不相等也可以使用這段代碼轉化
            if(charset)
                valueStr = getContentString(valueStr, INPUT_CHARSET);
            params.put(name, valueStr);
        }
        return params;
    }

    /**
     * 除去數組中的空值和簽名參數
     * @param sArray 簽名參數組
     * @return 去掉空值與簽名參數後的新簽名參數組
     */
    public static Map<String, String> paraFilter(Map<String, String> sArray) {
        Map<String, String> result = new HashMap<>();
        if (sArray == null || sArray.size() <= 0) {
            return result;
        }
        for (String key : sArray.keySet()) {
            String value = sArray.get(key);
            if (value == null || value.equals("") || key.equalsIgnoreCase("sign")) {
                continue;
            }
            result.put(key, value);
        }
        return result;
    }

    /**
     * 把數組所有元素排序，並按照“參數=參數值”的模式用“&”字符拼接成字符串
     * @param params 需要排序並參與字符拼接的參數組
     * @return 拼接後字符串
     */
    public static String createLinkString(Map<String, String> params) {
        return createLinkString(params, false);
    }

    /**
     * 把數組所有元素排序，並按照“參數=參數值”的模式用“&”字符拼接成字符串
     * @param params 需要排序並參與字符拼接的參數組
     * @param encode 是否需要UrlEncode
     * @return 拼接後字符串
     */
    public static String createLinkString(Map<String, String> params, boolean encode) {
        List<String> keys = new ArrayList<>(params.keySet());
        Collections.sort(keys);
        String prestr = "";
        for (int i = 0; i < keys.size(); i++) {
            String key = keys.get(i);
            String value = params.get(key);
            if (encode)
                value = urlEncode(value, INPUT_CHARSET);
            if (i == keys.size() - 1) {//拼接時，不包括最後一個&字符
                prestr = prestr + key + "=" + value;
            } else {
                prestr = prestr + key + "=" + value + "&";
            }
        }
        return prestr;
    }

    /**
     * 編碼轉換
     * @param content
     * @param charset
     * @return
     * @throws UnsupportedEncodingException
     */
    private static byte[] getContentBytes(String content, String charset) {
        if (charset == null || "".equals(charset)) {
            return content.getBytes();
        }
        try {
            return content.getBytes(charset);
        } catch (UnsupportedEncodingException e) {
            throw new RuntimeException("MD5簽名過程中出現錯誤,指定的編碼集不對,您目前指定的編碼集是:" + charset);
        }
    }

    /**
     * 編碼轉換
     * @param content
     * @param charset
     * @return
     */
    private static String getContentString(String content, String charset) {
        if (charset == null || "".equals(charset)) {
            return new String(content.getBytes());
        }
        try {
            return new String(content.getBytes("ISO-8859-1"), charset);
        } catch (UnsupportedEncodingException e) {
            throw new RuntimeException("指定的編碼集不對,您目前指定的編碼集是:" + charset);
        }
    }

    /**
     * URL轉碼
     * @param content
     * @param charset
     * @return
     */
    private static String urlEncode(String content, String charset) {
        try {
            return URLEncoder.encode(content, charset);
        } catch (UnsupportedEncodingException e) {
            throw new RuntimeException("指定的編碼集不對,您目前指定的編碼集是:" + charset);
        }
    }



    //TODO 簽名
    /**
     * 生成要請求的簽名參數數組
     * @param sParaTemp 需要簽名的參數Map
     * @return 要請求的簽名參數數組
     */
    public static Map<String, String> signMap(Map<String, String[]> sParaTemp) {
        //請求參數Map轉換驗證Map，並生成要請求的簽名參數數組
        return sign(toVerifyMap(sParaTemp, false));
    }

    /**
     * 生成要請求的簽名參數數組
     * @param sParaTemp 需要簽名的參數
     * @return 要請求的簽名參數數組
     */
    public static Map<String, String> sign(Map<String, String> sParaTemp) {
        //時間戳加入簽名參數組中
        sParaTemp.put("timestamp", String.valueOf(System.currentTimeMillis()));
        //除去數組中的空值和簽名參數
        Map<String, String> sPara = paraFilter(sParaTemp);
        //把數組所有元素，按照“參數=參數值”的模式用“&”字符拼接成字符串
        String prestr = createLinkString(sPara);
        //生成簽名結果
        String mysign = DigestUtils.md5Hex(getContentBytes(prestr + APP_KEY, INPUT_CHARSET));
        //簽名結果加入請求提交參數組中
        sPara.put("sign", mysign);
        return sPara;
    }

    public static String getSignStr(Map<String, String> sParaTemp) {
        return sign(sParaTemp).get("sign");
    }



    /**
     * 生成要請求的簽名參數字符串“參數=參數值”&鏈接
     * @param sParaTemp 需要簽名的參數Map
     * @return 請求的簽名參數字符串
     */
    public static String signStringMap(Map<String, String[]> sParaTemp) {
        //生成要請求的簽名參數數組
        Map<String, String> sign = signMap(sParaTemp);
        //生成要請求的簽名參數字符串“參數=參數值”&鏈接
        return createLinkString(sign, true);
    }

    /**
     * 生成要請求的簽名參數字符串“參數=參數值”&鏈接
     * @param sParaTemp 需要簽名的參數
     * @return
     */
    public static String signString(Map<String, String> sParaTemp) {
        //生成要請求的簽名參數數組
        Map<String, String> sign = sign(sParaTemp);
        //生成要請求的簽名參數字符串“參數=參數值”&鏈接
        return createLinkString(sign, true);
    }


    //TODO 驗證簽名
    /**
     * 根據反饋回來的信息，生成簽名結果
     * @param paramsMap 通知返回來的請求參數Map
     * @return 驗證結果
     */
    public static boolean verifyMap(Map<String, String[]> paramsMap) {
        //請求參數Map轉換驗證Map，並根據反饋回來的信息，生成簽名結果
        return verify(toVerifyMap(paramsMap, false));
    }

    /**
     * 根據反饋回來的信息，生成簽名結果
     * @param params 通知返回來的參數數組
     * @return 驗證結果
     */
    public static boolean verify(Map<String, String> params) {
        String sign = "";
        if (params.get("sign") != null) {
            sign = params.get("sign");
        }else {
            logger.info("sign is null");
            return false;
        }
        String timestamp = "";
        if (params.get("timestamp") != null) {
            timestamp = params.get("timestamp");
        }else {
            return false;
        }
        //過濾空值、sign
        Map<String, String> sParaNew = paraFilter(params);
        //獲取待簽名字符串
        String preSignStr = createLinkString(sParaNew);
        //獲得簽名驗證結果
        String mysign = DigestUtils.md5Hex(getContentBytes(preSignStr + APP_KEY, INPUT_CHARSET));
        if (mysign.equals(sign)) {
            //是否超時
            long curr = System.currentTimeMillis();
            if ((curr - Long.valueOf(timestamp)) > TIME_OUT){
                logger.info("api is time out");
                return false;
            }
            return true;
        } else {
            return false;
        }
    }


}

2寫一個controller來模擬服務端和客戶端

package com.redis.sign;

import lombok.extern.slf4j.Slf4j;
import org.springframework.util.StringUtils;
import org.springframework.web.bind.annotation.RequestBody;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.ResponseBody;
import org.springframework.web.bind.annotation.RestController;

import javax.servlet.http.HttpServletRequest;
import java.util.HashMap;
import java.util.Map;

/**
 * @Auther: cjw
 * @Date: 2018/11/26 19:12
 * @Description: 測試控制器
 */
@RestController
public class SignTestController {

    /**
     * 模擬客戶端請求API接口
     * @param request
     * @return
     */
    @RequestMapping("send")
    public String send(HttpServletRequest request){
        Map<String,String> param = new HashMap<>();
        param.put("userId","9527");
        param.put("amount","9.99");
        param.put("productId","9885544154");
        param.put("secretKey","mysecret123456");
        try {
            String postResult = HttpClient.post("http://localhost:8099/test", SignUtil.sign(param));
			return postResult;
        } catch (Exception e) {
            e.printStackTrace();
        }
        return "success";
    }

    /**
     * 模擬服務的API接口
     * @param request
     * @return
     */
    @RequestMapping("checkSign")
    public String checkSign(HttpServletRequest request){
		//從request中獲取參數列表，轉成map
        Map<String, String> map = SignUtil.toVerifyMap(request.getParameterMap(),false);
        String secretKey =  map.get("secretKey");
        if (StringUtils.isEmpty(secretKey) || !map.get("secretKey").equals(SignUtil.SECRET_KEY)){
            System.out.println("secretKey is err");
            return "fail";
        }
        if (SignUtil.verify(map)){
           return "success";
       }else {
           return "fail";
       }
    }

}

3.HTTP工具類（https://blog.csdn.net/u010096717/article/details/84558994）

現在就可以調用send方法來測試一下，驗證簽名是否成功

Java 開放api接口簽名驗證（MD5模式）

【面試準備】又一次失敗的面試經歷，題目離譜～資深軟件測試工程師

dotnet 8 版本與銀河麒麟V10和UOS系統的 glibc 兼容性

Java 使用Redis實現延時隊列

Springboot + rabbitMQ實現延遲隊列（消費者）

Springboot + rabbitMQ實現延遲隊列（生產者）

Java-微信和支付寶進行默認授權獲取openId/UserId

使用POI讀取大文件Excel

https://yachay.unat.edu.pe/blog/index.php?comment_area=format_blog&comment_component=blog&comment_co

linux以太網驅動總結