API接口入门（二）：API接口的签名验签和加解密原理
上篇文章：《API接口入门（一）：读懂API接口文档》已经解释了什么是API接口，API接口的基本交互是怎么样的？读完后我们可以知道，API接口应用实际上是系统间通讯的过程，A向B传输参数，B向A返回结果。那本章将讲解API接口传输的签名和加密。
适合阅读的人群：产品经理及求职者
本文目录：
API接口为什么要签名加密？API接口如何加密？一、API接口为什么要签名加密？
想象一个场景：一位许久不见的好兄弟，突然在微信里面跟你说“兄弟，借我1万应急呗”，你会怎么反应？
我想大部分人马上的反应就是：是不是被盗号了？他是本人吗？
实际上这是我们日常生活中常见的通讯行为，系统间调用API和传输数据的过程无异于你和朋友间的微信沟通，所有处于开放环境的数据传输都是可以被截取，甚至被篡改的。因而数据传输存在着极大的危险，所以必须加密。
加密核心解决两个问题：
你是本人吗？（签名验签）你传过来的信息是对的吗？（加密解密）二、API接口如何签名验签和加密解密？
古代人写信通过邮差传信，路途遥远，他们为了避免重要的内容被发现，决定用密文来写信，比如我想表达“八百标兵上北坡”，我写成800north，并且收件人也知道怎么阅读这份信息，即使路上的人截取偷看了，也看不懂你们在说的什么意思。同时我在文末签上我的字迹，在盒子里放上我的信物（比如一片羽毛等等），这样收件人也就知道这份信是我寄出的了。
这被称为“对称性密码”，也就是加密的人用A方式加密，解密的人用A方式解密，有什么缺点呢？
如果你经常传输，这就很容易被发现了密码规律，比如我很快就知道你寄信都会带上一片羽毛，那我以后也可以搞一片羽毛来冒充你了。加上，如果我要给很多人寄信，我就要跟每个人告诉我的加密方式，说不准有一个卧底就把你的加密方式出卖了。
因为互联网传输的对接方数量和频率非常高，显然搞个对称性密码是不安全的。于是，基于对称性密码延伸出“非对称密码”的概念。
1. 公私钥——签名验签及加解密原理
通俗的解释：A要给B发信息，B先把一个箱子给A，A收到之后把信放进箱子，然后上锁，上锁了之后A自己也打不开，取不出来了，因为钥匙在B的手里，这样即使路上被截取了，别人也打不开箱子看里面的信息，最后B就能安全地收到A发的信了，并且信息没有泄露。
现在我们以一个单向的A发信息给B的场景进行深入了解公私钥工作原理。
总结：
（1）签名会被任何人获取，但因为签名内容不涉及核心内容，被获取破解是OK的。
（2）重要内容只能接收方解密，任何人获取了都无法解密。
（3）接收者B只有验证签名者是A的信息，才会执行接下来的程序。阿猫阿狗发来的信息不予执行。
捣局者C可能的情况：
（1）他获取到这条信息是A发出的，但看不明白加密的内容。
（2）他可以也用接受者B的加密方法c向接收者B发信息，但他无法冒充发送者A的签名，所以B不会接受C的请求。
（2）公私钥的非对称加密+session key对称加密
2. 公私钥的非对称加密+session key对称加密
上一小节解释的公私钥加密是标准和安全的，但因为这类非对称加密对系统运算的需求比较大，在保证安全的前提下，还是尽量希望提升程序响应的时效。所以目前主流应用的另一种加密方式是公私钥的非对称加密+session key对称加密。
3. 总结
（1）当B向A发出临时有效的加密方法之后，通讯的过程变为了对称加密；
（2）这类加密方式的核心是时效性，必须在短时间内更新，否则固定的规律容易被获取破解。
捣局者C可能的情况：
（1）他获取到B发出的session key的加密文件，无法破解session key是什么。因为解密方法在A手上；
（2）通过各种手段，C破解出session key的加解密方法，但因为时效已到，session key更新，C徒劳无功；
（3）C在时效内破解出session key，但无法冒充A的签名。
以上是2种常见的加解密方式，每个开放平台会在概述中最开始介绍API调用的安全加解密方法，这是每个对接过程中必须的准备流程，如微信企业平台在概述中就已介绍利用第2种方法（企业微信命名为access_token）进行加解密传输。
三、最后
以上就是API签名验签和加解密的基本原理，接下来我会继续更新API的请求方式等问题，同时以企业微信，微信开放平台等大型开放平台的业务解释各平台支持的现有功能。
综上，水平有限，如有纰漏，敬请指出。
作者：就是爱睡觉；已任职电商和金融业行业的产品岗位3年时间，目前业务以TO B业务为主，文章是用于记录自己在产品工作的思考和想法，希望有想法的小伙伴共同交流。
本文由 @就是爱睡觉 原创发布于人人都是产品经理。未经许可，禁止转载
题图来自Unsplash，基于CC0协议
接口签名验证常用方案
前面的文章说了接口数据如何获取，今天就来聊聊接口数据的安全问题。说到接口加密验证，通常都称作“签名”，类似于名人的个性签名，让其它人无法模仿。比如说请求接口删除自己写的文章，又或者请求接口查询自己的帐单明细。被抓到接口地址，然后随便改动下参数，岂不是就能随意删除别人的文章或者得到别人的帐单明细了。通常接口签名，就是在接口请求时加上一条签名参数，来让后台识别“身份“。
1.0 最简单的， 直接带上密钥
一些接口资源网站，对于免费用户就提供了这种签名方式。要求每次请求数据时带上预先提供的密钥。比如 www.testapi.com/date/list/json,在请求时参数里加上 sign=iamlilei。这种方式是相当LOW的，防御力相当于0。提供接口的人根本就没打算安全验证，加上签名只是为了方便统计接口使用次数以方便计费。
2.0 升级版， 隐藏id,改用token
最开始说了，如果是删除内容的接口，参数中就肯定有文章编号，用户身份的标识。如果使用id这种数字形式的参数，很容易被冒用。但是如果给用户创造一个复杂的名字，比如’asdfWEkKjH788J’这种字母加数字加大小写加特殊字符的形式，相信没人猜得出规律了。即使被人抓到接口地址，他也改不了其它用户的数据。但是有些资源类的接口，比如获取最新新闻，最新天气等，这类接口就不存在身份了，怎么防止别人免费使用你的接口呢！
3.0 定时更新token
用户身份是固定的，但token是可以经常更新，签名是和用户身份绑定的，请求时也要带上。这样别人无法掌握你最新的密钥，自然也无法使用了。目前，这种签名是最普遍的，比如微信公众号各种认证都是用的这种方式。
4.0 加密签名
通常我们做到第三步，效率高，安全度也可以。但是，非要找一个不会被冒用接口的方法。肯定也是有的，就是加密签名。首先，服务端提供给客服端一串密钥，类似token.请求接口时，我们不发送token，而是先把token与当前时间戳拼接并使用md5等固定的算法加密成sign参数，然后把时间戳与sign添加到请求参数里。这样服务收到请求后，同样把用户对应的token和时间戳拼接再加密，最后做判断是否一致。当然，时间戳肯定是有时效的，可以设置成3秒。使用这样的方式，不透露密钥，不透露加密算法，是很难被冒用的。
总结
学术的东西，没有最好，只有更好。具体使用哪种方式还需要针对具体的场景。如果只是在后端使用可以使用最简单的方式。但是涉及到用户数据，那就要防范了。
相关问答
话费api 接口 如何对接?话费api接口对接其实很简单的,按照以下几点操作就可以了:1、首先我们选择对接哪家公司的api接口,决定好了之后联系此公司的商务,验证公司的资质,商量充值价...
调用 接口 是什么意思?调用接口是指一种约束形式,或者叫连接通路,它为不相关的类提供通用的处理服务:不相关的类可以通过接口调用“接口功能类(或结构)”中的同名的方法、属性、...
软件工程里面的“ 接口 ”到底是什么意思? - 小红薯7F7AB7B7 ...广义的说接口是由类公开的一组成员。接口仅定义属性和方法的签名。我是菜鸟程序员接口是指连接,硬件电路的接口是针对不同部件之间的连接电路,起到...
话费充值API 接口 ，三网可用API 接口 - OSCHINA - 中文开源技...话费充值接口文档接口版本:1.0―、引言文档概述本文档提供话费充值接口规范说明,提供一整套的完整的接入示例(http接口)供商户参考,可以帮助商户开发人...
什么是 接口 文档，如何写 接口 ，有什么规范?首先要有一个文档的标题,XXX接口文档,符合当前文档的说明,文档的生产日期,以及公司名称等。现在开始写一个dubbo接口文档,定义标题,以及日期,这里公司省略...
api 接口 前端如何生成 签名 ?生成签名的方法可以根据具体的接口要求而定,以下是一种常见的生成签名的方法:1.首先,将请求参数按照字典序排序,并拼接成字符串。例如,如果请求参数为`{na...
uk 电子签名 是什么?UKey(也被称作USBKey)是一种通过USB(通用串行总线接口)直接与计算机相连、具有密码验证功能、可靠高速的小型存储设备。主要用作数字证书和私钥的安全存储硬...
国内有哪些比较好的 电子签名 工具?在这个办公、线上审批逐渐无纸化的时代,一款好用的电子签名不仅能够带来更方便的工作体验,还能提高工作效率,面对出差、异地等情况也能实现随时随地的签名。...
银行能签 电子合同 吗?贷款方面的- 汇财吧专业问答[回答]如果贷款的利息违背利息的最高原则或者明显存在违法行为的合同是无效的或者可以被法院认定为无效。电子合同本身是受法律保护的,目前网络上很多诈骗...
app key是什么意思?2,生成方式可以自己定义,appkey保证不重复就行.3,appkey是根据用户id算出来,也就是用户id另外一种表示方式,保证具有唯一性,目前大多数采用的是签名机制,也...
