[发明专利]一种实现Api接口安全性的方法

说明书

本发明提供了一种实现Api接口安全性的方法，所述方法包括如下步骤：步骤1：接入方向带有Api接口的系统申请应用；步骤2：接入方获得应用的应用码AppID和应用密钥AppSercet后开始向系统接口组织请求；步骤3：系统根据业务接口请求会把要返回的数据信息用应用码AppID对应的接口返回内容密钥DesSecret进行Des加密后返回给接入方；步骤4：接入方获得请求接口的返回内容后，用系统分配的接口返回内容密钥DesSecret进行Des解密，得到返回内容。本发明有效的保证了接口的安全性。

技术领域

本发明涉及网络通讯技术领域，特别是一种实现Api接口安全性的方法。

背景技术

现如今各种Api接口层出不穷，例如公司内部不同小组间的接口调用、对面用户的功能性接口、第三方服务接口等等。一个好的Api有很多维度来衡量，其中安全性和简易性是一个Api接口最基本也是最重要的两个维度，但是往往这2个维度会自相矛盾，设计的越复杂安全性相对会更高，但是对于接入方来说就是一件费劲的事件，太难接入不易看懂，就会产生很多无畏的沟通成本。设计的太简易也不行，接口有被篡改调用的风险，由其涉及Api充值、奖励发放、敏感数据等，安全与否直接影响到个人或企业的财产。所以设计一个好的Api接口，即简单又安全尤为重要。

发明内容

为克服上述问题，本发明的目的是提供一种实现Api接口安全性的方法，能进有效的保证了接口的安全性。

本发明采用以下方案实现：一种实现Api接口安全性的方法，所述方法包括如下步骤：

步骤1：接入方向带有Api接口的系统申请应用；

步骤2：接入方获得应用的应用码AppID和应用密钥AppSercet后开始向系统接口组织请求；该步骤2具体为：

步骤2.1：接入方要请求获取令牌接口来得到令牌Token；

步骤2.2：接入方获得令牌Token后有权向系统请求具体功能的业务接口，得到业务接口所需参数和签名规则组织出业务签名SdkSign；

步骤2.3：根据所述令牌Token和业务签名SdkSign，再加上业务接口所需参数，一并请求业务接口；

步骤3：系统根据业务接口请求会把要返回的数据信息用应用码AppID对应的接口返回内容密钥DesSecret进行Des加密后返回给接入方；

步骤4：接入方获得请求接口的返回内容后，用系统分配的接口返回内容密钥DesSecret进行Des解密，得到返回内容。

进一步的，所述步骤2.1进一步具体为：接入方传输应用码AppID、当前时间戳Ticket、Sign请求获取令牌接口，所述Sign是由AppID+Ticket+AppSercet 3个参数拼接进行MD5加密后得到的值；所述令牌Token在一预设时间内有效，即在预设时间内无需重复请求令牌Token，令牌Token都视为有效。

进一步的，所述步骤2.1进一步包括如下步骤：

步骤2.1.1：系统收到步骤2请求后，首先根据应用码AppID取得对应的应用密钥AppSercet，校验Sign签名是否合法有效；

步骤2.1.2：系统其次校验Ticket是否于服务器误差为一时间阈值范围内，超出范围的视为过期请求；

步骤2.1.3：最后系统校验请求IP是否在应用码AppID允许的IP白名单内；

步骤2.1.4：如果步骤2.1.1至步骤2.1.3都合法的情况下，系统组织令牌值返回给接入方；令牌Token是由应用码AppID、过期时间ExpireTime、随机字符串组成的Json字符串，再经过系统的DES加密得出的值，该值在返回给接入方之前会存入Redis缓存，用于校验合法性。