接口安全之签名

淡淡的烟草味﹌ 2022-03-15 09:40 298阅读 0赞

1.   接口请求采用https的post方式，返回信息全部采用json格式报文。  
2.   请求和返回报文双方约定采用UTF-8编码，并对请求参数做URLEncoder。  
3.   签名规则（签名在URLEncoder之前做。）  
4.   商户密钥  207b6c6843a20c4acf7e8583b9d463c6  
签名规则：  
第1步:

将所有参数（注意是所有参数），除去sign本身，以及值是空的参数，按参数名字母升序排序。  
第2步:

然后把排序后的参数按参数1值1参数2值2…参数n值n（这里的参数和值必须是传输参数的原始值，不能是经过处理的，如不能将"转成”后再拼接）的方式拼接成一个字符串。  
第3步:

把分配给接入方的验证密钥key拼接在第2步得到的字符串前面。  
第4步:

在上一步得到的字符串后面加上商户密钥 (接口提供方分配给接口接入方的)，然后计算md5值，得到32位字符串  
第5步:

将第4步得到的 字符串转成大写,得到的字符串作为sign的值。

举例：  
假设传输的数据是http://localhost:3333/viptrip365/interface/common/login.hlt?sign=sign\_value&imei=4324&os=423&os\_version=423&app\_version=432&ver=423&uid=13&time\_stamp=&userName=15501108967&pwd=123456（实际情况最好是通过post方式发送），  
其中sign参数对应的sign\_value就是签名的值。

第一步，拼接字符串，首先去除sign参数本身，然后去除值是空的参数time\_stamp，剩下imei=4324&os=423&os\_version=423&app\_version=432&ver=423&uid=13&userName=15501108967&pwd=12345，

然后按参数名字符升序排序得到  
app\_version=432imei=4324os=423os\_version=423pwd=123456uid=13userName=15501108967ver=423

第二步，然后做参数名和值的拼接，最后得到app\_version432imei4324os423os\_version423pwd123456uid13userName15501108967ver423

第三步，在上面拼接得到的字符串后加上商户密钥，md5(签名+密钥)得到新的字符串af538d756f3df274081eeedee1dca593

第四步，然后将这个字符然后转为大写，得到AF538D756F3DF274081EEEDEE1DCA593这个值即为sign签名值。

二、签名验证方法：  
根据前面描述的签名参数sign生成的方法规则，计算得到参数的签名值，和参数中通知过来的sign对应的参数值进行对比，如果是一致的，那么就校验通过，如果不一致，说明参数被修改过。

URLEncoder：

转码前

sign=AF538D756F3DF274081EEEDEE1DCA593&imei=2143124&os=%25E8%258B%25B9%25E6%259E%259C&

os\_version=3.5+%25E6%25B5%258B%25E8%25AF%2595%25E7%2589%2588&app\_version=1223&ver=3213

&uid=1232&time\_stamp=2015-02-03&userName=15501108967&pwd=123456

转码后