最近做項目，碰著一個奇怪的請求，后臺說在調用接口之前需要驗證簽名和有效時間，當場就懵逼了，要生成一個sign簽名，下面來說說怎么做

首先說說大致思路： sign 的生成:按照規則來是鍵值對的形式(key=value)，拼接的時候按照key=value&key=value(注意:key:后臺所需的參數名，value：前臺所獲取到的值)&time=系統所獲取的時間&salt = fangzhou(這個參數按照后臺要求)，而后進行 urlencode 編碼(Java中有方法)，下一步進行MD5加密，如果需要將加密后的值全部轉化為大寫(小寫)，Java中有方法直接調用即可；

接下來說說具體怎么實現：

1.請求數值的拼接(key=value&key=value):

String name = '宋小寶';String address = '東北';String panameter = 'name='+ name + '& address = '+address;

2.在請求數值的拼接字符串后面加上時間戳和特定值(根據后臺要求來)

//獲取系統時間戳Date dt= new Date();Long timeStamp= dt.getTime();String signText = panameter +'&time='+timeStamp + '&salt=fangzhou';

3.拼接完成后,對signText進行 urlencode 編碼

try { String urlencoderText = URLEncoder.encode(signText,'utf-8');} catch (UnsupportedEncodingException e) { e.printStackTrace();}

注:這里會拋出一個異常,直接 try 就可以了,這只是一個Java方法直接調用就完畢了

4.然后進行md5加密

//MD5加密String md5Text = md5(urlencoderText);

md5加密的方法了,網上有,直接c,v就ok了;

如果要對加密后的值,字母全部轉化為大寫(小寫)直接這樣:

//MD5加密String md5Text = md5(urlencoderText).trim().toUpperCase();

注:這是轉化為大寫的方法(小寫的方法:直接在字符串后面這樣加就可以了

.trim().toLowerCase();

這樣就可以了;但是你以為這樣就完了? 哥們兒,你想的太簡單了;下面才是最坑...的時候,怎么形容了,直接上代碼吧!

首先說明一點我用的xutils請求框架(具體怎么用我就不說了,相信大家都會用的-中國的程序猿是最棒的);

//設置請求地址params = new RequestParams(url);//添加請求參數params.addBodyParameter('name',name);params.addBodyParameter('address',address);//---添加時間戳---params.addBodyParameter('time',timeStamp+'');//加密的參數-signparams.addBodyParameter('sign',md5Text );

看見沒有，沒有進行轉碼的請求參數，照樣去添加，一個都不能少，反而還多了一個時間戳的參數，但是注意我上面加密了salt請求參數，這里沒有添加?。≡谧詈竺嫣砑恿宿D碼加密后的請求參數-sign

而后就用正常的發請求的流程就可以啦,,,就是這樣--完美

總之一句話-先拼接-后轉碼-再加密-再發請求

補充知識：淺談URL參數的sign簽名認證

以下內容是參考別人的博客內容整理，如有不足之處，敬請指正。。。

大家先思考一個問題: 你在寫開放的API接口時是如何保證數據的安全性的？

先來看看有哪些安全性問題在開放的api接口中，我們通過http Post或者Get方式請求服務器的時候，會面臨著許多的安全性問題，例如：

1. 請求來源(身份)是否合法？

2. 請求參數被篡改？

3. 請求的唯一性(不可復制)

解決方案：為了保證數據在通信時的安全性，我們可以采用參數簽名的方式來進行相關驗證。

案列分析

我們通過給某 [移動端(app)] 寫 [后臺接口(api)] 的案例進行分析：

客戶端：以下簡稱app

后臺接口：以下簡稱api

我們通過app查詢產品列表這個操作來進行分析：

app中點擊查詢按鈕==》調用api進行查詢==》返回查詢結果==>顯示在app中

一、不進行驗證的方式

api查詢接口：

app調用：http://api.test.com/getproducts?參數1=value1.......

如上，這種方式簡單粗暴，通過調用getproducts方法即可獲取產品列表信息了，但是這樣的方式會存在很嚴重的安全性問題，沒有進行任何的驗證，大家都可以通過這個方法獲取到產品列表，導致產品信息泄露。

那么，如何驗證調用者身份呢？如何防止參數被篡改呢？

二、MD5參數簽名的方式

我們對api查詢產品接口進行優化：

1.給app分配對應的key、secret

2.Sign簽名，調用API 時需要對請求參數進行簽名驗證，簽名方式如下：

a. 按照請求參數名稱將所有請求參數按照字母先后順序排序得到：keyvaluekeyvalue...keyvalue 字符串如：將arong=1,mrong=2,crong=3 排序為：arong=1, crong=3,mrong=2 然后將參數名和參數值進行拼接得到參數字符串：arong1crong3mrong2。

b. 將secret加在參數字符串的頭部后進行MD5加密 ,加密后的字符串需大寫。即得到簽名Sign

新api接口代碼:

app調用：http://api.test.com/getproducts?key=app_key&sign=BCC7C71CF93F9CDBDB88671B701D8A35&參數1=value1&參數2=value2.......

注：secret 僅作加密使用, 為了保證數據安全請不要在請求參數中使用。

如上，優化后的請求多了key和sign參數，這樣請求的時候就需要合法的key和正確簽名sign才可以獲取產品數據。這樣就解決了身份驗證和防止參數篡改問題，如果請求參數被人拿走，沒事，他們永遠也拿不到secret,因為secret是不傳遞的。再也無法偽造合法的請求。

但是...這樣就夠了嗎？細心的同學可能會發現，如果我獲取了你完整的鏈接，一直使用你的key和sign和一樣的參數不就可以正常獲取數據了...-_-!是的，僅僅是如上的優化是不夠的。。。。。。

請求的唯一性：

為了防止別人重復使用請求參數問題，我們需要保證請求的唯一性，就是對應請求只能使用一次，這樣就算別人拿走了請求的完整鏈接也是無效的。

唯一性的實現：在如上的請求參數中，我們加入時間戳：timestamp（yyyyMMddHHmmss），同樣，時間戳作為請求參數之一，也加入sign算法中進行加密。

新的api接口：

app調用：

http://api.test.com/getproducts?key=app_key&sign=BCC7C71CF93F9CDBDB88671B701D8A35&timestamp=201603261407&參數1=value1&參數2=value2.......

如上，我們通過timestamp時間戳用來驗證請求是否過期。這樣就算被人拿走完整的請求鏈接也是無效的。

Sign簽名安全性分析：

通過上面的案例，我們可以看出，安全的關鍵在于參與簽名的secret，整個過程中secret是不參與通信的，所以只要保證secret不泄露，請求就不會被偽造。

總結

上述的Sign簽名的方式能夠在一定程度上防止信息被篡改和偽造，保障通信的安全，這里使用的是MD5進行加密，當然實際使用中大家可以根據實際需求進行自定義簽名算法，比如：RSA，SHA等加密算法。希望能給大家一個參考，也希望大家多多支持好吧啦網。