知识需要不断积累、总结和沉淀,思考和写作是成长的催化剂
这篇很轻松,没有什么费脑子的,所以解析较少,代码较多,为数不多的拿来即用篇
整个章节分布请移步 .NET开篇总括
内容目录
一、概述二、序列化1、二进制文件2、XML3、JSON三、加解密1、不可逆加密MD52、对称可逆加密3、非对称可逆加密4、一些组合应用1、CA证书2、单边认证https3、双边认证
一、概述
序列化是把一个内存中的对象
的信息转化成一个可以持久化保存(二进制数据)
的形式,以便于保存或传输,序列化的主要作用是不同平台之间进行通信,常用的有序列化有json、xml、文件等,反序列化是将进制数据还原为对象
,内存中的对象稍纵即逝,序列化反序列化就是为了保持对象的持久化。就像用DV录像,用播放器播放一样。
加密是通过对消息进行编码
,建立一种安全的交流方式
,使得只有你和你所期望的接收者能够理解。
二、序列化
1、二进制文件
内置的BinaryFormatter
二进制序列化器用于将对象序列化和反序列化二进制文件。要引用System.Runtime.Serialization.Formatters.Binary。
假设我们有以下对象
[Serializable] //必须添加序列化特性
public class Person
{
[NonSerialized]
public int Id = 1;
public string Name { get; set; }
public string Sex { get; set; }
}
创建一个BinaryFormatter实例,调用实例Serialize方法将对象写入文件流中
string fileName = Path.Combine("D:\\", @"BinarySerialize.txt");//文件名称与路径
using (Stream fStream = new FileStream(fileName, FileMode.Create, FileAccess.ReadWrite))
{
Person p = new Person() { Id = 1, Name = "jack", Sex = "男" };//对象
BinaryFormatter binFormat = new BinaryFormatter();//创建二进制序列化器
binFormat.Serialize(fStream, p);
}
通过调用实例Deserialize方法把二进制文本反序列化为对象
using (Stream fStream = new FileStream(fileName, FileMode.Open, FileAccess.ReadWrite))
{
BinaryFormatter binFormat = new BinaryFormatter();//创建二进制序列化器
fStream.Position = 0;//重置流位置
Person p = (Person)binFormat.Deserialize(fStream);//反序列化对象
}
但注意我们必须在类上面标记Serializable特性
,才能序列化该对象,默认属性字段都可序列化了,当然我们通过标记NonSerialized
可以要求某个字段不序列化,但这样反序列后该字段就会没有值(或默认值)
结合咱们前天学到的泛型,我们包装一下BinarySerializeHelper帮助类
public class BinarySerializeHelper
{
/// <summary>
/// 将对象序列化为字符串
/// </summary>
/// <typeparam name="T">类型</typeparam>
/// <param name="t">实例</param>
/// <returns>字符串</returns>
public static string ObjectToString<T>(T t)
{
BinaryFormatter formatter = new BinaryFormatter();
using (MemoryStream stream = new MemoryStream())
{
formatter.Serialize(stream, t);
string result = System.Text.Encoding.UTF8.GetString(stream.ToArray());
return result;
}
}
/// <summary>
/// 将对象序列化为文件
/// </summary>
/// <typeparam name="T">类型</typeparam>
/// <param name="t">实例</param>
/// <param name="path">存放路径</param>
public static void ObjectToFile<T>(T t, string path)
{
BinaryFormatter formatter = new BinaryFormatter();
using (FileStream stream = new FileStream(path, FileMode.OpenOrCreate))
{
formatter.Serialize(stream, t);
stream.Flush();
}
}
/// <summary>
/// 将字符串反序列为类型
/// </summary>
/// <typeparam name="T">类型</typeparam>
/// <param name="s">字符串</param>
/// <returns>对象</returns>
public static T StringToObject<T>(string s) where T : class
{
byte[] buffer = System.Text.Encoding.UTF8.GetBytes(s);
BinaryFormatter formatter = new BinaryFormatter();
using (MemoryStream stream = new MemoryStream(buffer))
{
T result = formatter.Deserialize(stream) as T;
return result;
}
}
/// <summary>
/// 将文件反序列化为对象
/// </summary>
/// <typeparam name="T">类型</typeparam>
/// <param name="path">路径</param>
/// <returns>对象</returns>
public static T FileToObject<T>(string path) where T : class
{
using (FileStream stream = new FileStream(path, FileMode.Open))
{
BinaryFormatter formatter = new BinaryFormatter();
T result = formatter.Deserialize(stream) as T;
return result;
}
}
}
2、XML
在没有JSON(JavaScript Object Notation)之前,XML(Extensible Markup Language)作为规范,轻量的数据存储格式得到大量应用,常用来作为配置文件和数据传输。.NET内置了XmlSerializer
类来将对象序列化为xml,将XML反序列化为对象。
用法和上面BinaryFormatter一样,先实例化然后调用序列化、反序列化方法
string fileName = Path.Combine("D:\\", @"XmlSerialize.txt");//文件名称与路径
using (Stream fStream = new FileStream(fileName, FileMode.Create, FileAccess.ReadWrite))
{
Person p = new Person() { Id = 1, Name = "jack", Sex = "男" };//对象
XmlSerializer xmlFormat = new XmlSerializer(typeof(Person));//创建XML序列化器,需要指定对象的类型
xmlFormat.Serialize(fStream, p);
}
using (Stream fStream = new FileStream(fileName, FileMode.Open, FileAccess.ReadWrite))
{
XmlSerializer xmlFormat = new XmlSerializer(typeof(Person));//创建XML序列化器,需要指定对象的类型
fStream.Position = 0;//重置流位置
Person p = (Person)xmlFormat.Deserialize(fStream);//反序列化对象
}
不同的是实例化XmlSerializer时候需要指定待序列化对象的类型,而且对象无需标记Serializable特性
我们也可以像上面一样封装成泛型以共用
public class XmlSerializeHelper
{
/// <summary>
/// 将对象序列化为xml文件
/// </summary>
/// <typeparam name="T">类型</typeparam>
/// <param name="t">对象</param>
/// <param name="path">xml存放路径</param>
public static void ObjectToXml<T>(T t, string path) where T : class
{
XmlSerializer formatter = new XmlSerializer(typeof(T));
using (FileStream stream = new FileStream(path, FileMode.OpenOrCreate))
{
formatter.Serialize(stream, t);
}
}
/// <summary>
/// 将对象序列化为xml字符串
/// </summary>
/// <typeparam name="T">类型</typeparam>
/// <param name="t">对象</param>
public static string ObjectToXml<T>(T t) where T : class
{
XmlSerializer formatter = new XmlSerializer(typeof(T));
using (MemoryStream stream = new MemoryStream())
{
formatter.Serialize(stream, t);
string result = System.Text.Encoding.UTF8.GetString(stream.ToArray());
return result;
}
}
/// <summary>
/// 将xml文件反序列化为对象
/// </summary>
/// <typeparam name="T">类型</typeparam>
/// <param name="t">对象</param>
/// <param name="path">xml路径</param>
/// <returns>对象</returns>
public static T XmlToObject<T>(T t, string path) where T : class
{
XmlSerializer formatter = new XmlSerializer(typeof(T));
using (FileStream stream = new FileStream(path, FileMode.OpenOrCreate))
{
XmlReader xmlReader = new XmlTextReader(stream);
T result = formatter.Deserialize(xmlReader) as T;
return result;
}
}
}
关于XML,在以前也被浓墨重彩的使用,.NET对其解析用到的类库在System.Xml下,包括XmlDocument,XmlElement,XmlNode等类可以实现对xml文档的完全控制。
3、JSON
JSON(JavaScript Object Notation)相比较XML更加轻量,传输有效减少带宽,可读性也差不多,在互联网尤其移动互联网中得到广泛应用。.NET后面的框架配置也多基于JSON格式。
.NE提供了DataContractJsonSerializer和JavaScriptSerializer
两个类来进行JSON的转换,两者大致相同,DataContractJsonSerializer(命名空间System.Runtime.Serialization.Json)在wcf时代应用较多,你必须在DataContract和DataMember来特性标记成员。JavaScriptSerializer更多用在Web中通信,可以序列化任何类型,包括匿名类型。这里以JavaScriptSerializer为例,简单使用一下子。(命名空间System.Web.Script.Serialization)
这次我们先直接封装个泛型方法,后面两个方法我们用了比较常用的Newtonsoft.Json
第三方的JSON转换库
public class JsonSerializeHelper
{
#region Json
/// <summary>
/// 将对象序列化为Json字符串
/// </summary>
/// <typeparam name="T"></typeparam>
/// <param name="obj"></param>
/// <returns></returns>
public static string ObjectToString<T>(T obj)
{
JavaScriptSerializer jss = new JavaScriptSerializer();
return jss.Serialize(obj);
}
/// <summary>
/// 将Json字符串反序列化为对象
/// </summary>
/// <typeparam name="T"></typeparam>
/// <param name="content"></param>
/// <returns></returns>
public static T StringToObject<T>(string content)
{
JavaScriptSerializer jss = new JavaScriptSerializer();
return jss.Deserialize<T>(content);
}
/// <summary>
/// 使用Newtonsoft.Json序列化对象为json字符串
/// </summary>
/// <typeparam name="T"></typeparam>
/// <param name="obj"></param>
/// <returns></returns>
public static string ToJson<T>(T obj)
{
return JsonConvert.SerializeObject(obj);
}
/// <summary>
/// 使用Newtonsoft.Json将json字符串反序列化为对象
/// </summary>
/// <typeparam name="T"></typeparam>
/// <param name="content"></param>
/// <returns></returns>
public static T ToObject<T>(string content)
{
return JsonConvert.DeserializeObject<T>(content);
}
#endregion Json
}
三、加解密
字面意思,加密解密,我们经常需要对不想要别人轻松看见的东西加密,之所以说是不能轻松看见,因为安全都是相对的,没有绝对的安全,我们加密只是提高别人破解的难度,劝退大多数人。加密是通过对消息进行编码,建立一种安全的交流方式,使得只有你和你所期望的接收者能够理解。
那么怎么样才能叫安全呢?消息在接收方和发送方进行安全传递,一般要满足下面三个要点:
- 消息的发送方能够确定消息只有预期的接收方可以解密(不保证第三方无法获得,但保证第三方无法解密)。
- 消息的接收方可以确定消息是由谁发送的(消息的接收方可以确定消息的发送方)。
- 消息的接收方可以确定消息在途中没有被篡改过(必须确认消息的完整性)。确保消息由A发出没有被篡改到达预期的B手中。
加密通常分为三种方式:不可逆加密、对称可逆加密和非对称可逆加密
1、不可逆加密MD5
MD5(单向散列算法)的全称是Message-Digest Algorithm 5(信息-摘要算法),经MD2、MD3和MD4发展而来。MD5算法的使用不需要支付任何版权费用。
MD5特点:
输入任意长度的信息,经过处理,输出为128位的信息(数字指纹);
不同的输入得到的不同的结果(唯一性);
根据128位的输出结果不可能反推出输入的信息(不可逆);
MD5是不可逆的,就是根据加密后信息得不到加密前的。
1、防止被篡改
比如一个电子文档,发送过程中如果被篡改,则前后的md5不一样2、防止直接看到明文
比如用户密码消息,如果数据库中存储的明文,则泄漏后别人就直接登录。用MD5加密后存储,即使泄密得到的也是加密后的,无法还原加密前的密码,但现在网上有很多MD5解密的,都是通过撞库实现,因为密码一般也就数字生日字母等组合,目前已知的MD5库已经有几百亿样本了,如果简单密码还是容易通过撞库破解的,所以一般还会在用户密码基础上再加上一些自定义的信息后再MD5(俗称加盐)。3、防止抵赖(数字签名)
A写了一个文件,然后在第三方认证机构备案,第三方利用MD5形成摘要信息,如果日后A抵赖不是他写的,第三方就对文件重新MD5然后与记录在册的比对。4、急速秒传
网盘应用,记录第一次上传文件的MD5,然后别人再上传,匹配MD5,一致时就可不用上传,直接给个软连接,达到急速秒传。
以下是C#版本MD5加密
public class MD5Encrypt
{
/// <summary>
/// MD5加密,和动网上的16/32位MD5加密结果相同,
/// 使用的UTF8编码
/// </summary>
/// <param name="source">待加密字串</param>
/// <param name="length">16或32值之一,其它则采用.net默认MD5加密算法</param>
/// <returns>加密后的字串</returns>
public static string Encrypt(string source, int length = 32)//默认参数
{
if (string.IsNullOrEmpty(source)) return string.Empty;
HashAlgorithm provider = CryptoConfig.CreateFromName("MD5") as HashAlgorithm;
byte[] bytes = Encoding.UTF8.GetBytes(source);//这里需要区别编码的
byte[] hashValue = provider.ComputeHash(bytes);
StringBuilder sb = new StringBuilder();
switch (length)
{
case 16://16位密文是32位密文的9到24位字符
for (int i = 4; i < 12; i++)
{
sb.Append(hashValue[i].ToString("x2"));//转换为小写的16进制
}
break;
case 32:
for (int i = 0; i < 16; i++)
{
sb.Append(hashValue[i].ToString("x2"));
}
break;
default:
for (int i = 0; i < hashValue.Length; i++)
{
sb.Append(hashValue[i].ToString("x2"));
}
break;
}
return sb.ToString();
}
/// <summary>
/// 获取文件的MD5摘要
/// </summary>
/// <param name="fileName"></param>
/// <returns></returns>
public static string AbstractFile(string fileName)
{
using (FileStream file = new FileStream(fileName, FileMode.Open))
{
return AbstractFile(file);
}
}
/// <summary>
/// 根据stream获取文件摘要
/// </summary>
/// <param name="stream"></param>
/// <returns></returns>
public static string AbstractFile(Stream stream)
{
MD5 md5 = new MD5CryptoServiceProvider();
byte[] retVal = md5.ComputeHash(stream);
StringBuilder sb = new StringBuilder();
for (int i = 0; i < retVal.Length; i++)
{
sb.Append(retVal[i].ToString("x2"));
}
return sb.ToString();
}
}
2、对称可逆加密
借用一下这张图。对称加密的思路非常简单,就是含有一个称为密钥(密码学中发音yao)的东西,在消息发送前使用密钥对消息进行加密,在对方收到消息之后,使用相同的密钥进行解密。加密速度快,但密钥安全是个问题
,密钥放在保密的地方。
对称加密很明显的问题就是要确保密钥的安全,密钥如果被第三方获取,接受者便无法区分正确的发送者。
以DES AES Blowfish为代表。DES(Data Encryption Standard),像加密狗
一般就是利用对称可逆加密
C#语言版本的DES加解密如下所示,注意密钥长度是8位
public class DesEncrypt
{
/// <summary>
/// 密钥key
/// </summary>
private static byte[] _rgbKey = ASCIIEncoding.ASCII.GetBytes("miyaokey");
/// <summary>
/// 偏移量 为了解决原文中有重复生成的密文中也有重复现象
/// </summary>
private static byte[] _rgbIV = ASCIIEncoding.ASCII.GetBytes("miyaokey".Insert(0, "w").Substring(0, 8));
/// <summary>
/// DES 加密
/// </summary>
/// <param name="text">需要加密的值</param>
/// <returns>加密后的结果</returns>
public static string Encrypt(string text)
{
DESCryptoServiceProvider dsp = new DESCryptoServiceProvider();
using (MemoryStream memStream = new MemoryStream())
{
CryptoStream crypStream = new CryptoStream(memStream, dsp.CreateEncryptor(_rgbKey, _rgbIV), CryptoStreamMode.Write);
StreamWriter sWriter = new StreamWriter(crypStream);
sWriter.Write(text);
sWriter.Flush();
crypStream.FlushFinalBlock();
memStream.Flush();
return Convert.ToBase64String(memStream.GetBuffer(), 0, (int)memStream.Length);
}
}
/// <summary>
/// DES解密
/// </summary>
/// <param name="encryptText"></param>
/// <returns>解密后的结果</returns>
public static string Decrypt(string encryptText)
{
DESCryptoServiceProvider dsp = new DESCryptoServiceProvider();
byte[] buffer = Convert.FromBase64String(encryptText);
using (MemoryStream memStream = new MemoryStream())
{
CryptoStream crypStream = new CryptoStream(memStream, dsp.CreateDecryptor(_rgbKey, _rgbIV), CryptoStreamMode.Write);
crypStream.Write(buffer, 0, buffer.Length);
crypStream.FlushFinalBlock();
return ASCIIEncoding.UTF8.GetString(memStream.ToArray());
}
}
}
3、非对称可逆加密
非对称加密的接收者和发送者都持有两个密钥,一个是对外公开的,称为公钥,一个是自行保管的,称为私钥。非对称加密的规则是由某人A的公钥加密的消息,只能由A的私钥进行解密;由A的私钥加密的消息只能由A的公钥解密。
可以使用接收方公钥加密,接受方私钥解密,这样可以确保只有预期的接收方能接受消息,但无法保证发送方是谁,因为谁都可以拿接收方的公钥来加密,这其实就是加密模式
。
如果使用发送方的私钥加密,发送方的公钥解密,可以确保消息是由发送方A发出的,但拿到发送方公钥的都可以解密,这就是认证模式
。因为无论加密模式,认证模式都无法同时满足加解密的三要点,然后引入了数字签名
数字签名
就是上面非对称加密的认证模式基础上做了改进,加入了像MD5的散列算法,多一条路对原始信息进行散列加密,消息仍以明文传递,最后比较接收到的消息的散列值和接受到原始消息散列值,确定消息是否被中间篡改。但很明显,明文传递,不安全,第三方可以直接查看消息
就像上图所示,我们再对明文消息进行加密,确保被期望的接收方接受。那结合加密模式,发送方用接收方的公钥加密信息,然后接收方只能用接收方自己的私钥来解密。所以整个过程利用4个密钥,加密钥既可以是公钥也可以是私钥。
C#版本的RSA(Rivest Shamir Ad1eman)加解密如下所示
public class RsaEncrypt
{
/// <summary>
/// 获取加密/解密对
/// 给你一个,是无法推算出另外一个的
/// Encrypt Decrypt
/// </summary>
/// <returns>Encrypt Decrypt</returns>
public static KeyValuePair<string, string> GetKeyPair()
{
RSACryptoServiceProvider RSA = new RSACryptoServiceProvider();
string publicKey = RSA.ToXmlString(false);
string privateKey = RSA.ToXmlString(true);
return new KeyValuePair<string, string>(publicKey, privateKey);
}
/// <summary>
/// 加密:内容+加密key
/// </summary>
/// <param name="content"></param>
/// <param name="encryptKey">加密key</param>
/// <returns></returns>
public static string Encrypt(string content, string encryptKey)
{
RSACryptoServiceProvider rsa = new RSACryptoServiceProvider();
rsa.FromXmlString(encryptKey);
UnicodeEncoding ByteConverter = new UnicodeEncoding();
byte[] DataToEncrypt = ByteConverter.GetBytes(content);
byte[] resultBytes = rsa.Encrypt(DataToEncrypt, false);
return Convert.ToBase64String(resultBytes);
}
/// <summary>
/// 解密 内容+解密key
/// </summary>
/// <param name="content"></param>
/// <param name="decryptKey">解密key</param>
/// <returns></returns>
public static string Decrypt(string content, string decryptKey)
{
byte[] dataToDecrypt = Convert.FromBase64String(content);
RSACryptoServiceProvider RSA = new RSACryptoServiceProvider();
RSA.FromXmlString(decryptKey);
byte[] resultBytes = RSA.Decrypt(dataToDecrypt, false);
UnicodeEncoding ByteConverter = new UnicodeEncoding();
return ByteConverter.GetString(resultBytes);
}
/// <summary>
/// 可以合并在一起的,,每次产生一组新的密钥
/// </summary>
/// <param name="content"></param>
/// <param name="encryptKey">加密key</param>
/// <param name="decryptKey">解密key</param>
/// <returns>加密后结果</returns>
private static string Encrypt(string content, out string publicKey, out string privateKey)
{
RSACryptoServiceProvider rsaProvider = new RSACryptoServiceProvider();
publicKey = rsaProvider.ToXmlString(false);
privateKey = rsaProvider.ToXmlString(true);
UnicodeEncoding ByteConverter = new UnicodeEncoding();
byte[] DataToEncrypt = ByteConverter.GetBytes(content);
byte[] resultBytes = rsaProvider.Encrypt(DataToEncrypt, false);
return Convert.ToBase64String(resultBytes);
}
}
4、一些组合应用
1、CA证书
CA(Certification Authority)证书是由CA权威机构
(国内像阿里),我们在互联网里要信任一个东西,如果有个权威机构来背书,我们可能更加信任。CA证书自己也可以颁发,就看大家认不认了。
像上图所示。我们网站需要去CA机构申请一个证书,CA机构根据我们提供的网站一些信息,然后CA机构对这些信息用CA机构的私钥加密,形成CA证书(包括加密后的基本信息和数字签名)安装到IIS等服务器上,浏览器内置了CA解密钥,浏览器访问服务器时,服务器把证书给浏览器,,通过发证机关找到次机关的解密钥(浏览器也内置了发证机关的CA证书(根证书,包含CA机构和解密公钥)),然后浏览器通过解密钥就获得图中百度公司的MD5信息,通过对比服务器端传递过来的基本信息生成MD5后比较解密了数字证书后的MD5一致性,确保证书没问题,没有被篡改。
2、单边认证https
上面验证了证书,然后得到百度的公钥(申请证书时提供的公钥,包含在证书中),用此百度公钥加密一个消息给服务器,服务器如果有正确的私钥解密返回正确的消息,则验证服务器是百度。确认之后,浏览器则随机提供一个加密钥,记得用百度公钥加密后传输(避免被中间截取),然后百度服务器得到这个新生成的加密钥,以后双方就通过这个加密钥加密传输数据,只有浏览器和服务器知道的。
3、双边认证
上面单边认证只是证明了服务器是那个服务器,双边认证就再证明浏览器是那个浏览器,一般银行经常会用U盾,K宝等,和单边认证类似,将证书发给服务器