动态鉴权原理

怼烎@ 2022-01-14 01:17 337阅读 0赞

[2019独角兽企业重金招聘Python工程师标准>>> ][2019_Python_] ![hot3.png][]

开放的平台，需要对每个客户进行鉴权，一般会提供access key 和 secret key ，这里原理是如何？

首先，我们为什么要进行鉴权，鉴权的目的是防止请求被篡改，能识别是哪个客户发的请求。要达到这两个目的，我们可以使用常见的签名算法。客户端和服务端使用同样的签名方式，服务器对请求算的结果和客户端传递的值进行对比，就可以鉴权。这里access key 用作识别用户，secret key 是盐。

最简单的方式是使用md5做单向加密:md5(msg),但是这种粗暴的加密方式的缺点就是可以暴力破解。然后升级的做法就是加盐。

import hmac
    message = 'messege' #和url，时间戳等固定参数有关
    key = 'sdfsdfwfahesdfsdfsdfgwgdfgd' # 随机字符串
    h = hmac.new(key, message, digestmod='MD5')
    sign = h.hexdigest()

客户端和服务器约定使用相同的随机字符串作为salt ，这样，sign传递到server 后，server 使用相同的算法对提取的参数做相同运算，即可获得sign， 作为对比即可知道是否鉴权通过。我们常用的secret key 一般就是salt 。

我们能对接口鉴权了后，有个问题，当不同客户有不同权限时，server 怎么识别不同的客户？这里access key 就起作用了，server 维护个字典，每个access key 对应一个 secret key , 就可以区分开客户。

伪代码如下：

client:
    
    sign = hmac.new(secret_key, msg, digestmod='MD5')
    
    请求体：
    
        header {
            timestamp: 123,
            sign : 'sdfafwgsdkxsdfgasidfoshdosdhfsdgsdgs'
            access_key : 'kfjuwhsnssidofowsjksosdufkgsdofiiif'
        }
        body {
            msg: 'msg'
        }
    
    server :
    
    dict = {
        access_key1 : secrect_key1,
        access_key2 : secrect_key2
    
    } #按客户维度维护的字典，和session的性质类似
    
    import hmac
    
    access_key = req.header.get(access_key)
    
    key = dict[access_key]
    
    message = req.body.get(msg)
    
    h = hmac.new(key, message, digestmod='MD5') #为增加复杂度，这里，会对message 混杂时间戳，uri等固定参数
    
    sign = h.hexdigest()
    
    if sign == req.header.get('sign'):
        return true
    else:
        return false

以上就是基本的鉴权原理

转载于:https://my.oschina.net/u/2950272/blog/1619363

[2019_Python_]: https://my.oschina.net/u/2663968/blog/3061697
[hot3.png]: /images/20220113/3e8c0d82d4a34724a743d53f381b5f82.png