web api 安全设计（1）
环境：后台 ASP.NET Web API ，前端为 html，js（跨域访问)
场景1：
客户端自保管RSA 公钥和密钥，签名为客户端私钥签名，服务端用客户端公钥进行签名验证
场景2：
客户端使用SHA1签名（包含 AES_KEY)
设计逻辑：
1. 从服务端获取 【服务端 RSA 公钥】
//客户端判断公钥是否受信任
//todo…
2. 用户登陆
– 随机生成【本地 AES_KEY 临时】
– 用【服务端 RSA 公钥】加密敏感数据（【用户密码】、【本地 AES KEY 临时】）
– 将登陆信息传送给服务端
登陆参数：
“user_id”: user_id,
“encrypted_password”: encrypted_password, — 使用服务端RSA公钥加密的数据，包含：用户密码、登陆时间戳、随机数
“encrypted_key”: encrypted_key — 使用服务端RSA公钥加密的数据，包含：【本地 AES_KEY 临时】、登陆时间戳、随机数
说明：
由于用服务端RSA公钥加密，只有服务端的RSA私钥才能解密，
密码部分和本地随机的【本地 AES_KEY 临时】加密时进行了随机混淆，
并且服务端后台进行了时间戳检查（5分钟有效），这样就保证了登陆时的安全性。
登陆返回值：
token = obj.token; — token
timestamp = obj.timestamp; — 时间戳 用于客户端与服务端进行同步计数器，防止重放攻击
local_aes_key = AES_Decrypt(obj.aes_key, local_aes_key_first, local_aes_iv); — 用客户端【本地 AES_KEY 临时】解密数据得到服务器生成给客户端的【本地 AES_KEY】，用于后期签名参数和数据加解密
enabled_data_encryption = obj.enabled_data_encryption; — 是否启用数据加解密
3. 接口调用
接口参数：
“token”: token,
“signature”: signature, — 签名
“timestamp”: timestamp,
“nonce”: nonce,
“method_name”: method_name, — 方法名（control_name+action_name）
“raw”: raw2 — 方法的参数
签名：
如果是场景1，签名数据为 token + “_” + timestamp + “_” + nonce + “_” + method_name + “_” + raw
如果是场景2，签名数据为 local_aes_key + “_” + token + “_” + timestamp + “_” + nonce + “_” + method_name + “_” + raw
返回数据：
由于配置为加密传输数据（接口方法参数、返回数据），故返回为 AES 加密数据的 HexStr，
需要客户端亲自使用【本地 AES KEY】解密得到真实数据。
以上讲的主要是前端的逻辑，后台逻辑下篇再续…
跨域配置配置：