Ø 前言
在前一篇ASP.NET Web API 2 使用 AuthorizationFilter（授权过滤器）实现 Basic 认证文章中实现了采用 Basic 认证的方式，但是这种方式存在安全隐患，而且只适合同一体系的项目架构中。如果希望将接口对外发布，提供给其他应用程序或其他语言调用，就需要具有更高的安全性，这就是本文需要讨论话题了。
1. 什么是签名认证
签名认证采用了可靠的加密机制对请求进行验证，提高了接口的安全性，防止数据篡改的现象。下面是具体实现：
1) 首先，接口提供者需要提供 AppId 和 SecretKey 给调用者，只有获得的了 AppId 和 SecretKey 的调用者才有权限访问。
2) 调用者在调用接口之前，需要根据提供者给出签名方案对请求数据进行加密，通常采用不可逆的加密方式，例如：MD5、HMAC等。
3) 提供者收到请求后，同样以相同的签名方案对请求数据进行加密，再将加密的结果与调用者的加密结果进行比较，如果两者相同则认为签名成功允许继续访问，否则拒绝请求。
4) 注意：加密过程中，SecretKey 禁止被传递，通常作为密钥使用，因为就算 AppId 被截取，也不能正常签名。
2. 应用场景
从图中可以看出，无论是那种程序调用接口，都必须采用相同的签名方案才能正常调用，否则请求将会被拒绝。
3. 具体实现步骤
1) 首先，创建一个签名认证处理程序
/// <summary>
/// 签名认证处理程序。
/// </summary>
public class SignatureAuthenticationHandler : System.Net.Http.DelegatingHandler
{
protected override async System.Threading.Tasks.Task<System.Net.Http.HttpResponseMessage> SendAsync(
System.Net.Http.HttpRequestMessage request, System.Threading.CancellationToken cancellationToken)
{
//因为 DelegatingHandler 全局异常过滤器无法捕获，所以需要加上 try、catch 自行处理异常
try
{
//1. URL 编码
string encodeUrl = HttpUtility.UrlEncode(request.RequestUri.AbsoluteUri);
//2. 请求内容 MD5 加密，再 base64 编码
string reqContent = string.Empty;
using (var md5 = new System.Security.Cryptography.MD5CryptoServiceProvider())
{
byte[] reqBytes = null;
if (request.Method == HttpMethod.Get)
reqBytes = Encoding.UTF8.GetBytes(request.RequestUri.Query);
else
reqBytes = request.Content.ReadAsByteArrayAsync().Result;
byte[] encryptBytes = md5.ComputeHash(reqBytes);
reqContent = Convert.ToBase64String(encryptBytes);
}
//获取 Authorization
var auth = request.Headers.Authorization;
if (auth == null)
return request.CreateResponse(HttpStatusCode.Forbidden, "未指定 Authorization");
else if (!"hmac".Equals(auth.Scheme, StringComparison.CurrentCultureIgnoreCase))
return request.CreateResponse(HttpStatusCode.Forbidden, "未指定 hmac");
else if (string.IsNullOrWhiteSpace(auth.Parameter))
return request.CreateResponse(HttpStatusCode.Forbidden, "无签名参数");
string[] paras = auth.Parameter.Split('&');
if (paras.Length != 4)
return request.CreateResponse(HttpStatusCode.Forbidden, "签名参数无效");
//检查AppId，真实情况下：应该是根据请求的 AppId 查出对应的合作伙伴记录
var partners = new[]
{
new { AppId = "zhangsan", SecretKey = "abc12345" },
new { AppId = "lisi", SecretKey = "def45678" }
}; //模拟真实数据
var partner = partners.FirstOrDefault(o => o.AppId == paras[0]);
if (partner == null)
return request.CreateResponse(HttpStatusCode.Forbidden, "AppId 无效");
//3. 将 AppId、时间戳、Guid、编码的 URL、请求内容串联
string signStr = string.Format("{0}{1}{2}{3}{4}",
paras[0], paras[1], paras[2], encodeUrl, reqContent);
//4. 使用 SecretKey 作为密钥，将串联的字符串进行散列算法加密，转为大写的十六进制字符串
StringBuilder sbHex = new StringBuilder();
byte[] secretKeyBytes = Convert.FromBase64String(partner.SecretKey);
using (var hmac = new System.Security.Cryptography.HMACSHA512(secretKeyBytes))
{
byte[] bytes = Encoding.UTF8.GetBytes(signStr);
byte[] encryptBytes = hmac.ComputeHash(bytes);
foreach (var item in encryptBytes)
{
sbHex.AppendFormat("{0:X2}", item);
}
}
//5. 比较签名
string sign = sbHex.ToString();
if (paras[3].Equals(sign))
return base.SendAsync(request, cancellationToken).Result;
else
return request.CreateResponse(HttpStatusCode.Unauthorized, "已拒绝为此请求授权");
}
catch (Exception ex)
{
return request.CreateResponse(HttpStatusCode.InternalServerError, string.Format("签名验证出错：{0}", ex.Message));
}
}
}
2) 添加签名认证处理程序至信息管道中，在 WebApiConfig.cs 中添加代码
config.MessageHandlers.Add(new WebAPI2.Filter.MessageHandlers.SignatureAuthenticationHandler());
3) 然后，再建一个单元测试项目（用于模拟调用接口，分别使用 GET 和 POST）
[TestClass]
public class WebApiTest
{
/// <summary>
/// 获取时间戳（毫秒）。
/// </summary>
/// <returns></returns>
public long GetMillisecondsTimestamp(DateTime dateTime)
{
TimeSpan cha = (dateTime - TimeZone.CurrentTimeZone.ToLocalTime(new DateTime(1970, 1, 1)));
return (long)cha.TotalMilliseconds;
}
[TestMethod]
public void TestSAGet()
{
//1. URL 编码
Uri uri = new Uri("http://localhost:37907/api/customer/get?id=1");
string encodeUrl = HttpUtility.UrlEncode(uri.AbsoluteUri);
//2. 请求内容 MD5 加密，再 base64 编码
string reqContent = string.Empty;
using (var md5 = new System.Security.Cryptography.MD5CryptoServiceProvider())
{
//GET方式：将?id=1 加密
byte[] reqBytes = Encoding.UTF8.GetBytes(uri.Query);
byte[] encryptBytes = md5.ComputeHash(reqBytes);
reqContent = Convert.ToBase64String(encryptBytes);
}
//3. 将 AppId、时间戳、Guid、编码的 URL、请求内容串联
string appId = "zhangsan";
long timestamp = GetMillisecondsTimestamp(DateTime.Now);
string guid = Guid.NewGuid().ToString();
string signStr = string.Format("{0}{1}{2}{3}{4}",
appId, timestamp, guid, encodeUrl, reqContent);
//4. 使用 SecretKey 作为密钥，将串联的字符串进行散列算法加密，转为大写的十六进制字符串
StringBuilder sbHex = new StringBuilder();
string secretKey = "abc12346";
byte[] secretKeyBytes = Convert.FromBase64String(secretKey);
using (var hmac = new System.Security.Cryptography.HMACSHA512(secretKeyBytes))
{
byte[] bytes = Encoding.UTF8.GetBytes(signStr);
byte[] encryptBytes = hmac.ComputeHash(bytes);
foreach (var item in encryptBytes)
{
sbHex.AppendFormat("{0:X2}", item);
}
}
string sign = sbHex.ToString();
WebRequest request = HttpWebRequest.Create(HttpUtility.UrlDecode(encodeUrl));
request.Timeout = 200000; //默认为100000=1分40秒
request.Method = "GET";
//5. 将 AppId、时间戳、Guid、加密后的字符串以&号连接，并以请求头 Authorization 传递（验证方案为 hmac）
request.Headers.Add(HttpRequestHeader.Authorization,
string.Format("hmac {0}&{1}&{2}&{3}", appId, timestamp, guid, sign));
try
{
using (WebResponse response = request.GetResponse())
{
using (StreamReader sr = new StreamReader(response.GetResponseStream()))
{
string resCon = sr.ReadToEnd();
}
}
}
catch (WebException ex)
{
HttpWebResponse webResponse = ex.Response as HttpWebResponse;
using (StreamReader sr = new StreamReader(webResponse.GetResponseStream()))
{
int status = (int)webResponse.StatusCode;
string resCon = sr.ReadToEnd();
throw ex;
}
}
}
[TestMethod]
public void TestSAPost()
{
var cust = new { CustomerId = 1, CustomerName = "客户A", Address = "上海市杨浦区" };
string data = JsonConvert.SerializeObject(cust);
byte[] reqBytes = Encoding.UTF8.GetBytes(data);
//1. URL 编码
Uri uri = new Uri("http://localhost:37907/api/customer/modify");
string encodeUrl = HttpUtility.UrlEncode(uri.AbsoluteUri);
//2. 请求内容 MD5 加密，再 base64 编码
string reqContent = string.Empty;
using (var md5 = new System.Security.Cryptography.MD5CryptoServiceProvider())
{
//POST方式：将请求数据加密
byte[] encryptBytes = md5.ComputeHash(reqBytes);
reqContent = Convert.ToBase64String(encryptBytes);
}
//3. 将 AppId、时间戳、Guid、编码的 URL、请求内容串联
string appId = "zhangsan";
long timestamp = GetMillisecondsTimestamp(DateTime.Now);
string guid = Guid.NewGuid().ToString();
string signStr = string.Format("{0}{1}{2}{3}{4}",
appId, timestamp, guid, encodeUrl, reqContent);
//4. 使用 SecretKey 作为密钥，将串联的字符串进行散列算法加密，转为大写的十六进制字符串
StringBuilder sbHex = new StringBuilder();
string secretKey = "abc12346";
byte[] secretKeyBytes = Convert.FromBase64String(secretKey);
using (var hmac = new System.Security.Cryptography.HMACSHA512(secretKeyBytes))
{
byte[] bytes = Encoding.UTF8.GetBytes(signStr);
byte[] encryptBytes = hmac.ComputeHash(bytes);
foreach (var item in encryptBytes)
{
sbHex.AppendFormat("{0:X2}", item);
}
}
string sign = sbHex.ToString();
WebRequest request = HttpWebRequest.Create(HttpUtility.UrlDecode(encodeUrl));
request.Timeout = 200000; //默认为100000=1分40秒
request.Method = "POST";
request.ContentType = "application/json";
request.ContentLength = reqBytes.Length;
//5. 将 AppId、时间戳、Guid、加密后的字符串以&号连接，并以请求头 Authorization 传递（验证方案为 hmac）
request.Headers.Add(HttpRequestHeader.Authorization,
string.Format("hmac {0}&{1}&{2}&{3}", appId, timestamp, guid, sign));
try
{
using (Stream stream = request.GetRequestStream())
{
stream.Write(reqBytes, 0, reqBytes.Length);
using (WebResponse response = request.GetResponse())
{
using (StreamReader sr = new StreamReader(response.GetResponseStream()))
{
string resCon = sr.ReadToEnd();
}
}
}
}
catch (WebException ex)
{
HttpWebResponse webResponse = ex.Response as HttpWebResponse;
using (StreamReader sr = new StreamReader(webResponse.GetResponseStream()))
{
int status = (int)webResponse.StatusCode;
string resCon = sr.ReadToEnd();
throw ex;
}
}
}
}
4. 模拟调用效果
1) GET 方式调用（失败）
2) GET 方式调用（成功）
3) POST 方式调用（失败）
4) POST 方式调用（成功）
Ø 总结
1. 本文主要阐述了如何使用 Web API 实现签名认证，以及实现步骤和效果演示。
2. 不难发现，其实签名认证也是存在一定缺点的，比如：
1) 每次请求都需要将做同一件事（将请求签名），而服务端接收到请求后也是每次都要验证，提高了复杂程度和性能损耗。
2) 服务端收到请求时还需要根据 AppId 查找对应的 SecretKey，无论是在数据库中查找还是从缓存中获取，这无疑也是对性能的开销。因为当访问量大时，这种频繁的操作也是不能忽视的。
3. 当然，有缺点也有优点的，这样做最大的好处就是提高了接口的安全性。
4. OK，关于签名认证就先到这里吧，如有不对之处，欢迎讨论。