web api 安全设计(1)
阅读原文时间:2024年11月29日阅读:1

环境:后台 ASP.NET Web API ,前端为 html,js(跨域访问)


场景1:

客户端自保管RSA 公钥和密钥,签名为客户端私钥签名,服务端用客户端公钥进行签名验证

场景2:

客户端使用SHA1签名(包含 AES_KEY)


设计逻辑:

1. 从服务端获取 【服务端 RSA 公钥】

//客户端判断公钥是否受信任
//todo…

2. 用户登陆

  -- 随机生成【本地 AES_KEY 临时】

  -- 用【服务端 RSA 公钥】加密敏感数据(【用户密码】、【本地 AES KEY 临时】)

  -- 将登陆信息传送给服务端

登陆参数:

"user_id": user_id,
"encrypted_password": encrypted_password, -- 使用服务端RSA公钥加密的数据,包含:用户密码、登陆时间戳、随机数
"encrypted_key": encrypted_key      -- 使用服务端RSA公钥加密的数据,包含:【本地 AES_KEY 临时】、登陆时间戳、随机数

说明:

由于用服务端RSA公钥加密,只有服务端的RSA私钥才能解密,

密码部分和本地随机的【本地 AES_KEY 临时】加密时进行了随机混淆,

并且服务端后台进行了时间戳检查(5分钟有效),这样就保证了登陆时的安全性。

登陆返回值:

token = obj.token; -- token

timestamp = obj.timestamp; -- 时间戳 用于客户端与服务端进行同步计数器,防止重放攻击

local_aes_key = AES_Decrypt(obj.aes_key, local_aes_key_first, local_aes_iv);  -- 用客户端【本地 AES_KEY 临时】解密数据得到服务器生成给客户端的【本地 AES_KEY】,用于后期签名参数和数据加解密

enabled_data_encryption = obj.enabled_data_encryption; -- 是否启用数据加解密

3. 接口调用

接口参数:

"token": token, 
"signature": signature, -- 签名
"timestamp": timestamp,
"nonce": nonce,
"method_name": method_name, -- 方法名(control_name+action_name)
"raw": raw2 -- 方法的参数

签名:

如果是场景1,签名数据为 token + "_" + timestamp + "_" + nonce + "_" + method_name + "_" + raw

如果是场景2,签名数据为 local_aes_key + "_" + token + "_" + timestamp + "_" + nonce + "_" + method_name + "_" + raw

返回数据:

由于配置为加密传输数据(接口方法参数、返回数据),故返回为 AES 加密数据的 HexStr,

需要客户端亲自使用【本地 AES KEY】解密得到真实数据。


以上讲的主要是前端的逻辑,后台逻辑下篇再续…


跨域配置配置:

手机扫一扫

移动阅读更方便

阿里云服务器
腾讯云服务器
七牛云服务器

你可能感兴趣的文章