隨著公司業務漸漸壯大，為了降低系統之間的耦合度，提高系統與系統之間的協作效率。可能部分業務將 採用 api 方式進去資料操作，但是基於 HTTP 協議方式傳遞資料會涉及到下列三個基礎問題：

1. 資料提交者是否合法？

2. 資料傳遞期間是否被篡改？

3. 資料是否被多次提交？

如何解決以上三個問題呢？ so easy !
一些常見的 SDK 裡面已經涉及到這些問題，細心的童靴已經發現瞭解決方案。

解決資料提交是否合法、資料是否被篡改

• 客戶端和服務端約定簽名演算法，客戶端生成簽名作為資料傳遞的一個欄位，服務端拿到簽名進行合法性驗證。常見的簽名步驟如下：

• 服務端提供方給出app_id和app_secret
• 客戶端端根據app_id和app_secret以及請求引數，按照一定演算法生成簽名sign
• 服務端進行驗證簽名

具體以支付寶簽名為例子(PHP版本，客戶端)

<?php
class sign{
    /**
     * 生成要請求給支付寶的引數陣列
     * @param $para_temp 請求前的引數陣列
     * @return 要請求的引數陣列
     */
    function buildRequestPara($para_temp, $app_secret = '', $sign_type = 'MD5') {
        //除去待簽名引數陣列中的空值和簽名引數
 

        $para_filter = $this->paraFilter($para_temp);

        //對待簽名引數陣列排序
        $para_sort = $this->argSort($para_filter);

        //生成簽名結果
        $mysign = $this->buildRequestMysign($para_sort, $app_secret);

        //簽名結果與簽名方式加入請求提交引數組中
        $para_sort['sign'] = $mysign;
        $para_sort
 
['sign_type'] = strtoupper(trim($sign_type));

        return $para_sort;
    }

    /**
     * 獲取返回時的簽名驗證結果
     * @param $para_temp 通知返回來的引數陣列
     * @param $sign 返回的簽名結果
     * @return 簽名驗證結果
     */
    function getSignVeryfy($para_temp, $sign, $app_secret = '', $sign_type = 'MD5') {
        //除去待簽名引數陣列中的空值和簽名引數
        $para_filter = $this->paraFilter($para_temp);

        //對待簽名引數陣列排序
        $para_sort = $this->argSort($para_filter);

        //把陣列所有元素，按照“引數=引數值”的模式用“&”字元拼接成字串
        $prestr = $this->createLinkstring($para_sort);

        $isSgin = false;
        switch (strtoupper(trim($sign_type))) {
            case "MD5" :
                $isSgin = $this->md5Verify($prestr, $sign, $app_secret);
                break;
            default :
                $isSgin = false;
        }

        return $isSgin;
    }        
    /**
     * 生成簽名結果
     * @param $para_sort 已排序要簽名的陣列
     * return 簽名結果字串
     */
    function buildRequestMysign($para_sort, $app_secret, $sign_type = 'MD5') {
        //把陣列所有元素，按照“引數=引數值”的模式用“&”字元拼接成字串
        $prestr = $this->createLinkstring($para_sort);

        $mysign = "";
        switch (strtoupper(trim($sign_type))) {
            case "MD5" :
                $mysign = $this->md5Sign($prestr, $app_secret);
                break;
            default :
                $mysign = "";
        }

        return $mysign;
    }

    /**
     * 把陣列所有元素，按照“引數=引數值”的模式用“&”字元拼接成字串
     * @param $para 需要拼接的陣列
     * return 拼接完成以後的字串
     */
    function createLinkstring($para) {
        $arg  = "";
        while (list ($key, $val) = each ($para)) {
            $arg.=$key."=".$val."&";
        }
        //去掉最後一個&字元
        $arg = substr($arg,0,count($arg)-2);

        //如果存在轉義字元，那麼去掉轉義
        if(get_magic_quotes_gpc()){$arg = stripslashes($arg);}

        return $arg;
    }

    /**
     * 簽名字串
     * @param $prestr 需要簽名的字串
     * @param $key 私鑰
     * return 簽名結果
     */
    function md5Sign($prestr, $key) {
        $prestr = $prestr . $key;
        return md5($prestr);
    }

    /**
     * 驗證簽名
     * @param string $prestr 需要簽名的字串
     * @param string $sign 簽名結果
     * @param string $key 私鑰
     * return boolean 簽名結果
     */
    function md5Verify($prestr, $sign, $key) {
        $prestr = $prestr . $key;
        $mysgin = md5($prestr);

        if($mysgin == $sign) {
            return true;
        }
        else {
            return false;
        }
    }

    /**
     * 除去陣列中的空值和簽名引數
     * @param $para 簽名引數組
     * return 去掉空值與簽名引數後的新簽名引數組
     */
    function paraFilter($para) {
        $para_filter = array();
        while (list ($key, $val) = each ($para)) {
            if($key == "sign" || $key == "sign_type" || $val == "")continue;
            else    $para_filter[$key] = $para[$key];
        }
        return $para_filter;
    }

    /**
     * 對陣列排序
     * @param $para 排序前的陣列
     * return 排序後的陣列
     */
    function argSort($para) {
        ksort($para);
        reset($para);
        return $para;
    }    
}

include './httplib.class.php';// 基礎的 curl
include './sign.class.php';   
$app_id = 'demo';
$app_secret = 'your secret';
$time = time();
$data = [
    'uid' => '1',
    'name' => 'kevin',
    'age' => '25',
    'fid' => '1',
    '_timestamp' => $time,
];
$sign = new sign();
$params = $sign->buildRequestPara($data, $app_secret);
$http = new httplib();
$request_url = 'http://127.0.0.1/sign_response.php';// 服務端介面地址
$http->request($request_url, $params);

服務端介面處理

include './sign.class.php';
$app_id = 'demo';
$app_secret = 'your secret';

$sign = new sign();
$data = $_POST; // 未做安全處理
if(!isset($data['sign']) || empty($data['sign']))
{
    echo '缺少簽名引數';exit;
}
$sign = new sign();

if($sign->getSignVeryfy($data, $data['sign'], $app_secret)) {
    echo '簽名認證成功,繼續你的業務邏輯';
} else {
    echo '簽名失敗';
}

執行結果

關於多次提交客服端可相對判定

1. 上面的栗子可以根據一個時間戳欄位 _timestamp 在相對時間內請求多次。

if(!isset($data['_timestamp']) || empty($data['_timestamp']))
{
    echo '缺少時間引數';exit;
}
$nowtime = time();

// 120 秒 即 2分鐘內 請求是有效的，客服端和服務端時間可能有差異，此判斷不是客觀的，根據時間情況參訂
if(($nowtime-intval($data['_timestamp'])) > 120)
{
    echo '缺少時間引數';exit;
}

• 以上只是相對判定，服務端當然也可以儲存客戶端請求，下次進行判定，當然成本很高。服務端也可以生成 一次性token，客戶端得到此token傳遞資料時候帶上token 服務端再次驗證token的有效性