概述

前后端分离的项目中,数据交互都通过接口交互,接口的安全性很重要，对于传输的数据进行加密解密是很有必要的。

如何保证API调用时数据的安全性:

• 通信使用https
• 请求签名，防止参数被篡改
• 身份确认机制，每次请求都要验证是否合法
• APP中使用ssl pinning防止抓包操作
• 对所有请求和响应都进行加解密操作

image.png

Springboot中使用AES对称算法加密解密数据

1.在pom.xml文件中加入依赖

        <dependency>
            <groupId>commons-codec</groupId>
            <artifactId>commons-codec</artifactId>
            <version>1.10</version>
        </dependency>

2. 创建com.zhlab.demo.encrypt包,存放加解密核心代码
   代码不一一讲解了，目录如下:

代码结构

3. 加解密工具核心类:AesEncryptUtil.java

package com.zhlab.demo.encrypt.utils;

import org.apache.tomcat.util.codec.binary.Base64;

import javax.crypto.Cipher;
import javax.crypto.KeyGenerator;
import javax.crypto.spec.SecretKeySpec;
import java.nio.charset.StandardCharsets;

/**
 * @ClassName AesEncryptUtil
 * @Description //AES加密解密工具
 * @Author singleZhang
 * @Email 405780096@qq.com
 * @Date 2021/1/7 0007 下午 3:28
 **/
public class AesEncryptUtil {
    private static final String KEY = "d7b85f6e214abcda";
    private static final String ALGORITHM_STR = "AES/ECB/PKCS5Padding";

    public static String base64Encode(byte[] bytes) {
        return Base64.encodeBase64String(bytes);
    }

    public static byte[] base64Decode(String base64Code) throws Exception {
        return Base64.decodeBase64(base64Code);
    }

    public static byte[] aesEncryptToBytes(String content, String encryptKey) throws Exception {
        KeyGenerator kgen = KeyGenerator.getInstance("AES");
        kgen.init(128);
        Cipher cipher = Cipher.getInstance(ALGORITHM_STR);
        cipher.init(Cipher.ENCRYPT_MODE, new SecretKeySpec(encryptKey.getBytes(), "AES"));
        return cipher.doFinal(content.getBytes(StandardCharsets.UTF_8));
    }

    public static String aesEncrypt(String content, String encryptKey) throws Exception {
        return base64Encode(aesEncryptToBytes(content, encryptKey));
    }

    public static String aesDecryptByBytes(byte[] encryptBytes, String decryptKey) throws Exception {
        KeyGenerator kgen = KeyGenerator.getInstance("AES");
        kgen.init(128);
        Cipher cipher = Cipher.getInstance(ALGORITHM_STR);
        cipher.init(Cipher.DECRYPT_MODE, new SecretKeySpec(decryptKey.getBytes(), "AES"));
        byte[] decryptBytes = cipher.doFinal(encryptBytes);
        return new String(decryptBytes, StandardCharsets.UTF_8);
    }

    public static String aesDecrypt(String encryptStr, String decryptKey) throws Exception {

        return aesDecryptByBytes(base64Decode(encryptStr), decryptKey);
    }

// TODO TEST

    public static void main(String[] args) throws Exception {
        String content = "SingleZhang2021";
        System.out.println("加密前：" + content);

        String encrypt = aesEncrypt(content, KEY);
        System.out.println(encrypt.length() + ":加密后：" + encrypt);

        String decrypt = aesDecrypt(encrypt, KEY);
        System.out.println("解密后：" + decrypt);
    }
}

4. 前端如果是web,需要一个js加密包crypto-js.js来实现AES加密
   前端部分代码如下:

    var key = CryptoJS.enc.Utf8.parse("abcdef0123456780");
    //加密
    function Encrypt(word) {
        var srcs = CryptoJS.enc.Utf8.parse(word);
        var encrypted = CryptoJS.AES.encrypt(srcs, key, {
            mode: CryptoJS.mode.ECB,
            padding: CryptoJS.pad.Pkcs7
        });
        return encrypted.toString();
    }
    //解密
    function Decrypt(word) {
        var decrypt = CryptoJS.AES.decrypt(word, key, {
            mode: CryptoJS.mode.ECB,
            padding: CryptoJS.pad.Pkcs7
        });
        return CryptoJS.enc.Utf8.stringify(decrypt).toString();
    }

5. 在接口中，通过注解来选择性加解密,可以避免性能降低的风险

    /**
     * post请求->一个参数使用@Decrypt注解解密
     *
     * @param username
     * @return
     * @throws Exception
     */
    @Encrypt
    @Decrypt
    @PostMapping("/postStrData2")
    public String postStrData2(@RequestBody String username) throws Exception {
        System.out.println("username: " + username);

        return "加密字符串";
    }

    /**
     * post请求->发送并获取实体类数据,使用@Decrypt注解解密
     */
    @Encrypt
    @Decrypt
    @PostMapping("/encryptDto")
    public UserDto encryptDto(@RequestBody UserDto dto) {
        System.err.println(dto.getId() + "\t" + dto.getName());
        return dto;
    }

6. 在启动类上加上@EnableEncrypt 注解

@EnableEncrypt
@SpringBootApplication(exclude = { DataSourceAutoConfiguration.class })
public class DemoApplication {

    public static void main(String[] args) {
        SpringApplication.run(DemoApplication.class, args);
    }
}

好了,做完以上的工作,请求接口的数据就相对比之前安全许多,至少对一些爬虫工程师会造成一点困扰。

代码已传git

https://gitee.com/kaixinshow/springboot-note 16Springboot-encrypt

非对称加密算法思路

这个留给大家自己去动手实践,思路如下:
1、客户端启动，发送请求到服务端，服务端用RSA算法生成一对公钥和私钥，我们简称为publickey1,privatekey1，将公钥publickey1返回给客户端。
2、客户端拿到服务端返回的公钥publickey1后，自己用RSA算法生成一对公钥和私钥，我们简称为publickey2,privatekey2，并将公钥publickey2通过公钥publickey1加密，加密之后传输给服务端。
3、此时服务端收到客户端传输的密文，用私钥privatekey1进行解密，因为数据是用公钥publickey1加密的，通过解密就可以得到客户端生成的公钥publickey2
4、然后自己在生成对称加密，也就是我们的AES,其实也就是相对于我们配置中的那个16的长度的加密key,生成了这个key之后我们就用公钥publickey2进行加密，返回给客户端，因为只有客户端有publickey2对应的私钥privatekey2，只有客户端才能解密，客户端得到数据之后，用privatekey2进行解密操作，得到AES的加密key,最后就用加密key进行数据传输的加密

加签验签概念

加签：
用Hash函数把原始报文生成报文摘要，然后用私钥对这个摘要进行加密，就得到这个报文对应的数字签名。通常来说呢，请求方会把「数字签名和报文原文」一并发送给接收方。
验签：
接收方拿到原始报文和数字签名后，用同一个Hash函数从报文中生成摘要A。另外，用对方提供的公钥对数字签名进行解密，得到摘要B，对比A和B是否相同，就可以得知报文有没有被篡改过。

验签

总结

这些加解密对于算力有要求，会消耗性能，对于重要数据的接口才考虑加密操作。