restful API接口可以很方便的让其他系统调用,为了让指定的用户/系统可以调用开放的接口,一般需要对接口做认证;
接口认证有两种方式: 1、认证的token当做post/get的参数，server端拿到该参数后进行比对; 2、将认证的token加到http header中,server端解析header，拿到token进行比对,这也是最常用的方式;
下面针对第二种方式,进行详细的说明:
客户端请求http 的接口,python提供了requests模块，可以很方便的实现,在请求的时候,需要将请求的参数和认证的token携带过去;但是这样做,有可能是不安全的,因为token是不变的，在使用的过程中存在泄漏或者http请求被劫持的问题;所以，为了保证安全，最好传输的token是加密的,并且是一直变化着的;比较好实现方法是:获取当前的时间戳,和token拼接之后做MD5加密，发送到server端，server 再根据当前的时间戳和token拼接的字符串做md5，结果和接收到的字符串比对，但问题是数据在网络中传输存在延迟,所以时间戳两端对不上,所以客户端在发送的时候，还需要将时间戳一同发过去,所以最终发送的字符串实现如下:
import hashlib
import time
current_time = str(time.time())
m = hashlib.md5()
m.update(bytes(appid+current_time,encoding='utf-8'))
new_appid = m.hexdigest() new_new_appid = "%s|%s" %(new_appid,current_time)
print(new_new_appid)
server端split('|')接收到的字符串,获取时间戳，和token拼接,做MD5校验之后，与加密的密文比对;
但是问题又来了,一旦用户成功的请求被拦截,就可以获取加密的密文和时间戳,这一串字符串可以直接被server验证通过;
所以,最终的解决方式是:在server端维护一个列表,一旦成功的用户请求到来,将其加密的密文加到列表中,下一次请求到来后，先检查加密的字符串是否在列表中,如果存在,直接返回失败,如果不存在,并且时间在10s以内，再做后续的操作。需要注意的是,列表维护的信息,是10s(或其他时间段)以内的;如果这个列表存在于redis或者memcache中,可以借助redis和memcache的特性，删除10s以前的数据,会更简单;
下面是参考代码:
client side:
#!/usr/bin/env python
# _*_ coding:utf-8 _*_
__author__ = "charles" import requests
appid = 'asjdhjasdasgdd' import hashlib
import time
current_time = str(time.time())
m = hashlib.md5()
m.update(bytes(appid+current_time,encoding='utf-8'))
new_appid = m.hexdigest() new_new_appid = "%s|%s" %(new_appid,current_time)
print(new_new_appid) response = requests.get(
url='http://127.0.0.1:8080/asset/',
# params={'appid',appid},
headers = {'appid':new_new_appid}
)
print(response.text)
server side:
from django.shortcuts import render,HttpResponse # Create your views here. from django.views import View
import hashlib
import time class AssetView(View):
#1.时间 2.是否已经存在 3.正向加密
def get(self,request,*args,**kwargs):
visited = [] #列表需要维护时间，如果使用redis或者memcache就简单了
req_appid = request.META['HTTP_APPID']
print(req_appid)
APPID = 'asjdhjasdasgdd' v,client_time = req_appid.split('|')
current_time = time.time()
float_client_time = float(current_time)
if current_time - 10 > float_client_time:
return HttpResponse('验证失败')
if req_appid in visited:
return HttpResponse('验证失败')
m = hashlib.md5()
m.update(bytes(APPID+client_time,encoding='utf-8'))
new_appid = m.hexdigest()
if new_appid == v:
visited.append(req_appid)
return HttpResponse('...')
else:
return HttpResponse('去你的吧。。。')