API开发之接口安全（三）----sign有效时间

we-jack 2019-08-16 原文

之前生成的sign和校验sign我们已经完全掌握了、但是仅仅凭借这样的sign是无法满足我们的需求的，如果一个黑客通过抓包抓到你的数据他可以去修改你的header为这样的 body为那样的也是可以通过sign校验的那么我们怎么解决呢下面将详细的为大家解说

首先想到这样的一个问题我么首先应当考虑到的就是sign的时效性问题如果我们的sign只有十秒的时间那就算抓包他也只能在这十秒里使用那么有了这个想法之后我们是否应当在生成sign之前加入 time参数呢这个time具体怎么加入呢？

我们先建立一个 Time 类来生成我们sign所需要的time

<?php
/**
 * Created by PhpStorm.
 * User: Administrator
 * Date: 2019/8/16
 * Time: 10:20
 */

namespace app\common\lib;

/***
 * 生成以时间戳拼接的13位字符串
 * Class Time
 * @package app\common\lib
 */
class Time
{
    public static function get13TimeStamp(){
        list($t1, $t2) = explode(\' \', microtime());
　　　　　　##*1000增加唯一性 避免重复
        return $t2 . ceil($t1*1000);
    }
}

创建好我们时间生成类之后我们需要在生成sign的时候加入 time 参数

\'time\' => Time::get13TimeStamp(),

然后生成sign

IAuth::setSign($data)

生成之后我们就会获得到加入 time 参数之后返回的 sign了

下来我们拿到这个sign之后进行校验

我们需要修改下我们的校验方法 checkSignPass 使time参数参与进来

新增判断

##乘除1000增加唯一性
        if((time() - ceil($arr[\'time\']/1000)) > config(\'app.app_sign_time\')){
            return false;
        }

其中 config(“app.app_sign_time”) 是我在配置文件中配置的

return [
    \'aeskey\' => \'asdasd4wq5646\',  #AES秘钥  服务端必须和客户端保持一致
    \'method\' => \'AES-128-ECB\',
    \'iv\' => \'\',
    \'options\' => \'0\',
    \'app_types\' => [
        \'ios\',
        \'android\',
    ],
    \'app_sign_time\' => 60,
];

这样我们就成功的将时间加入到了 sign 中但是这样的话还是不能保证我们数据的安全性我们需要进一步的是sign有更高一级的安全性（唯一性）才行那么怎么做呢下章我们继续解刨sign