阿坝北京网站建设谷歌引擎搜索入口

简介

例如说：项目给第三方提供 HTTP 接口时，为了提高对接中数据传输的安全性（防止请求参数被篡改），同时校验调用方的有效性，通常都需要增加签名 sign。

市面上也有非常多的案例，例如说：

• 支付宝签名
• 企业微信签名

实现原理基本类似不再过多赘述，下面直接上代码。

1. 概述

API签名校验机制是一个用于保护API接口安全性的框架，通过验证请求的完整性和时效性，防止请求被篡改和重放攻击。该机制基于Spring AOP实现，使用注解方式配置，支持自动配置。

2. 核心组件

2.1 注解组件 (ApiSignature.java)

@Inherited
@Documented
@Target({ElementType.METHOD, ElementType.TYPE})
@Retention(RetentionPolicy.RUNTIME)
public @interface ApiSignature {// 签名有效时间，默认60秒int timeout() default 60;// 时间单位，默认秒TimeUnit timeUnit() default TimeUnit.SECONDS;// 签名失败时的错误提示String message() default "签名不正确";// 签名参数配置String appId() default "appId";String timestamp() default "timestamp";String nonce() default "nonce";String sign() default "sign";
}

2.2 切面组件 (ApiSignatureAspect.java)

@Aspect
@Slf4j
@AllArgsConstructor
public class ApiSignatureAspect {private final ApiSignatureRedisDAO signatureRedisDAO;@Before("@annotation(signature)")public void beforePointCut(JoinPoint joinPoint, ApiSignature signature) {// 1. 验证通过，直接结束if (verifySignature(signature, Objects.requireNonNull(ServletUtils.getRequest()))) {return;}// 2. 验证不通过，抛出异常log.error("[beforePointCut][方法{} 参数({}) 签名失败]", joinPoint.getSignature().toString(),joinPoint.getArgs());throw new AppException(AppExceptionCodeMsg.BAD_REQUEST);}
}

2.3 Redis组件 (ApiSignatureRedisDAO.java)

package com.erp.common.signature.core.redis;import lombok.AllArgsConstructor;
import org.springframework.data.redis.core.StringRedisTemplate;import java.util.concurrent.TimeUnit;/*** HTTP API 签名 Redis DAO** @author liming*/
@AllArgsConstructor
public class ApiSignatureRedisDAO {private final StringRedisTemplate stringRedisTemplate;/*** 验签随机数* <p>* KEY 格式：signature_nonce:%s // 参数为 随机数* VALUE 格式：String* 过期时间：不固定*/private static final String SIGNATURE_NONCE = "api_signature_nonce:%s:%s";/*** 签名密钥* <p>* HASH 结构* KEY 格式：%s // 参数为 appid* VALUE 格式：String* 过期时间：永不过期（预加载到 Redis）*/private static final String SIGNATURE_APPID = "api_signature_app";// ========== 验签随机数 ==========public String getNonce(String appId, String nonce) {return stringRedisTemplate.opsForValue().get(formatNonceKey(appId, nonce));}public Boolean setNonce(String appId, String nonce, int time, TimeUnit timeUnit) {return stringRedisTemplate.opsForValue().setIfAbsent(formatNonceKey(appId, nonce), "", time, timeUnit);}private static String formatNonceKey(String appId, String nonce) {return String.format(SIGNATURE_NONCE, appId, nonce);}// ========== 签名密钥 ==========public String getAppSecret(String appId) {return (String) stringRedisTemplate.opsForHash().get(SIGNATURE_APPID, appId);}}

3. 签名验证流程

3.1 请求处理流程

1. 请求进入

   • 客户端发送带有签名参数的HTTP请求
   • 请求必须包含：appId、timestamp、nonce、sign等参数

2. 切面拦截

   • 通过AOP拦截带有@ApiSignature注解的接口
   • 获取请求对象和注解配置

3. 参数验证

   • 验证请求头参数完整性
   • 检查时间戳有效性
   • 验证nonce唯一性

4. 签名验证

   • 获取appSecret
   • 构建签名字符串
   • 计算服务端签名
   • 比对客户端签名

5. 防重放处理

   • 将nonce存入Redis
   • 设置过期时间

3.2 详细验证步骤

ApiSignatureAspect.java

public boolean verifySignature(ApiSignature signature, HttpServletRequest request) {// 1. 验证请求头if (!verifyHeaders(signature, request)) {return false;}// 2. 获取appSecretString appId = request.getHeader(signature.appId());String appSecret = signatureRedisDAO.getAppSecret(appId);// 3. 验证签名String clientSignature = request.getHeader(signature.sign());String serverSignatureString = buildSignatureString(signature, request, appSecret);String serverSignature = DigestUtil.sha256Hex(serverSignatureString);// 4. 防重放处理String nonce = request.getHeader(signature.nonce());if (!signatureRedisDAO.setNonce(appId, nonce, signature.timeout() * 2, signature.timeUnit