微信小程序-API接口安全詳解
一.接口安全的必要性
最近我們公司的小程序要上線了，但是小程序端是外包負(fù)責(zé)的，我們負(fù)責(zé)提供后端接口。這就可能會(huì)造成接口安全問題。一些別有用心的人可以通過抓包或者其他方式即可獲得到后臺(tái)接口信息，如果不做權(quán)限校驗(yàn)，他們就可以隨意調(diào)用后臺(tái)接口，進(jìn)行數(shù)據(jù)的篡改和服務(wù)器的攻擊，會(huì)對(duì)一個(gè)企業(yè)造成很嚴(yán)重的影響。
因此，為了防止惡意調(diào)用，后臺(tái)接口的防護(hù)和權(quán)限校驗(yàn)非常重要。
雖然小程序有HTTPs和微信保駕護(hù)航，但是還是要加強(qiáng)安全意識(shí)，對(duì)后端接口進(jìn)行安全防護(hù)和權(quán)限校驗(yàn)。
二.小程序接口防護(hù)
小程序的登錄過程：
- 小程序端通過wx.login()獲取到code后發(fā)送給后臺(tái)服務(wù)器
- 后臺(tái)服務(wù)器使用小程序的appid、appsecret和code，調(diào)用微信接口服務(wù)換取session_key和openid（openid可以理解為是每個(gè)用戶在該小程序的唯一識(shí)別號(hào)）
- 后臺(tái)服務(wù)器自定義生成一個(gè)3rd_session，用作openid和session_key的key值，后者作為value值，保存一份在后臺(tái)服務(wù)器或者redis或者mysql，同時(shí)向小程序端傳遞3rd_session
- 小程序端收到3rd_session后將其保存到本地緩存，如wx.setStorageSync(KEY,DATA)
- 后續(xù)小程序端發(fā)送請(qǐng)求至后臺(tái)服務(wù)器時(shí)均攜帶3rd_session，可將其放在header頭部或者body里
- 后臺(tái)服務(wù)器以3rd_session為key，在保證3rd_session未過期的情況下讀取出value值（即openid和session_key的組合值），通過openid判斷是哪個(gè)用戶發(fā)送的請(qǐng)求，再和發(fā)送過來的body值做對(duì)比（如有），無誤后調(diào)用后臺(tái)邏輯處理
- 返回業(yè)務(wù)數(shù)據(jù)至小程序端
會(huì)話密鑰session_key 是對(duì)用戶數(shù)據(jù)進(jìn)行加密簽名的密鑰。為了應(yīng)用自身的數(shù)據(jù)安全，開發(fā)者服務(wù)器不應(yīng)該把會(huì)話密鑰下發(fā)到小程序，也不應(yīng)該對(duì)外提供這個(gè)密鑰。
session_key主要用于wx.getUserInfo接口數(shù)據(jù)的加解密，如下圖所示：
sessionId
在微信小程序開發(fā)中，由wx.request()發(fā)起的每次請(qǐng)求對(duì)于服務(wù)端來說都是不同的一次會(huì)話。啥意思呢？就是說區(qū)別于瀏覽器，小程序每一次請(qǐng)求都相當(dāng)于用不同的瀏覽器發(fā)的。即不同的請(qǐng)求之間的sessionId不一樣（實(shí)際上小程序cookie沒有攜帶sessionId）。
如下圖所示：
實(shí)際上小程序的每次wx.request()請(qǐng)求中沒有包含cookie信息，即沒有sessionId信息。
但是我們可以在每次wx.request()中的header里增加。
接口防護(hù)方法
- 使用HTTPS防止抓包，使用https至少會(huì)給破解者在抓包的時(shí)候提高一些難度
- 接口參數(shù)的加密，通過md5加密數(shù)據(jù)+時(shí)間戳+隨機(jī)字符串（salt），然后將MD5加密的數(shù)據(jù)和時(shí)間戳、原數(shù)據(jù)均傳到后臺(tái)，后臺(tái)規(guī)定一個(gè)有效時(shí)長，如果在該時(shí)長內(nèi)，且解密后的數(shù)據(jù)與原數(shù)據(jù)一致，則認(rèn)為是正常請(qǐng)求；也可以采用aes/des之類的加密算法，還可以加入客戶端的本地信息作為判斷依據(jù)
- 本地加密混淆，以上提到的加解密數(shù)據(jù)和算法，不要直接放在本地代碼，因?yàn)楹苋菀妆环淳幾g和破解，建議放到獨(dú)立模塊中去，并且函數(shù)名稱越混淆越難讀越安全。
- User-Agent 和 Referer 限制
- api防護(hù)的登錄驗(yàn)證，包括設(shè)備驗(yàn)證和用戶驗(yàn)證，可以通過檢查session等方式來判斷用戶是否登錄
- api的訪問次數(shù)限制，限制其每分鐘的api調(diào)用次數(shù)，可以通過session或者ip來做限制
- 定期監(jiān)測，檢查日志，偵查異常的接口訪問
以上就是本文的全部內(nèi)容，希望對(duì)大家的學(xué)習(xí)有所幫助，也希望大家多多支持腳本之家。
相關(guān)文章
理解Javascript_11_constructor實(shí)現(xiàn)原理
在理解了'對(duì)象模型'后,我們就可以看一下constructor屬性是如何實(shí)現(xiàn)的.2010-10-10
使用JavaScrip實(shí)現(xiàn)一個(gè)記憶函數(shù)
在編程的世界里,性能優(yōu)化始終是一個(gè)重要的話題,今天,我們將一起來實(shí)現(xiàn)一個(gè)實(shí)用的記憶函數(shù),感興趣的小伙伴可以跟隨小編一起學(xué)習(xí)一2024-11-11
基于Day.js更優(yōu)雅的處理JavaScript中的日期
Day.js它能夠幫助我們處理JavaScript中的日期，本文就詳細(xì)的介紹一下Day.js的具體使用，可以更簡單的處理JavaScript中的日期和時(shí)間2021-09-09
閉包是一個(gè)擁有許多變量和綁定了這些變量的環(huán)境的表達(dá)式（通常是一個(gè)函數(shù)），因而這些變量也是該表達(dá)式的一部分，本文將用通俗的語言帶您深入理解Javascript閉包的概念。2011-09-09
uniapp手寫滾動(dòng)選擇器的完整代碼(時(shí)間選擇器)
這篇文章主要介紹了uniapp手寫滾動(dòng)選擇器的完整代碼(時(shí)間選擇器),本文通過實(shí)例代碼給大家介紹的非常詳細(xì),對(duì)大家的學(xué)習(xí)或工作具有一定的參考借鑒價(jià)值,需要的朋友參考下吧2024-07-07
做前端，需要選擇元素，下面是實(shí)現(xiàn)代碼，一個(gè)原生的html元素選擇器類似jquery選擇器，很棒，很實(shí)用2014-10-10
js 控制下拉菜單刷新的方法，需要的朋友可以參考一下2013-03-03
這篇文章主要介紹了package.json中homepage屬性的作用詳解，文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2020-03-03
這篇文章主要為大家詳細(xì)介紹了JS獲取當(dāng)前地理位置的方法，具有一定的參考價(jià)值，感興趣的小伙伴們可以參考一下2017-10-10
這篇文章主要介紹了js防止頁面被iframe調(diào)用的方法,可防止頁面被別的網(wǎng)站iframe調(diào)用,非常具有實(shí)用價(jià)值,需要的朋友可以參考下2014-10-10