java怎么实现API接口签名认证通过签名算法保障接口安全-java教程-PHP中文网

java怎么实现API接口签名认证通过签名算法保障接口安全

畫卷琴夢

发布： 2025-11-23 12:35:14

原创

484人浏览过

签名认证通过共享密钥和时间戳防止非法请求，客户端用HMAC-SHA256算法生成签名，服务端校验签名、时间戳和AppId，确保请求合法性与完整性。

java怎么实现api接口签名认证通过签名算法保障接口安全

在Java开发中，API接口签名认证是一种常见的安全机制，用于防止请求被篡改、重放攻击或非法调用。通过对接口参数进行签名验证，服务端可以确认请求的合法性和完整性。下面介绍一种典型的实现方式。

1. 签名认证的基本原理

签名认证的核心思想是：客户端和服务端共享一个密钥（secretKey），在发起请求时，客户端根据请求参数和时间戳等信息，使用特定算法生成签名（signature），并将签名随请求发送。服务端收到请求后，使用相同的算法和密钥重新计算签名，并与客户端传来的签名比对，一致则认为请求合法。

关键要素包括：

AppId / AccessKey： 标识调用方身份
SecretKey： 双方共享的密钥，不参与传输
Timestamp： 时间戳，防止重放攻击
Nonce： 随机字符串，确保每次请求唯一
Signature： 使用签名算法生成的摘要值

2. 签名生成算法（以HMAC-SHA256为例）

常用签名算法有 MD5、SHA-256、HMAC-SHA256 等，推荐使用 HMAC-SHA256，安全性更高。

立即学习“Java免费学习笔记（深入）”；

Java 示例代码：

import javax.crypto.Mac;
import javax.crypto.spec.SecretKeySpec;
import java.nio.charset.StandardCharsets;
import java.util.TreeMap;
<p>public class ApiSignUtil {</p>
                    <div class="aritcle_card">
                        <a class="aritcle_card_img" href="/ai/2144">
                            <img src="https://img.php.cn/upload/ai_manual/000/000/000/175680183512272.png" alt="微撰">
                        </a>
                        <div class="aritcle_card_info">
                            <a href="/ai/2144">微撰</a>
                            <p>AI智能写作平台</p>
                            <div class="">
                                <img src="/static/images/card_xiazai.png" alt="微撰">
                                <span>207</span>
                            </div>
                        </div>
                        <a href="/ai/2144" class="aritcle_card_btn">
                            <span>查看详情</span>
                            <img src="/static/images/cardxiayige-3.png" alt="微撰">
                        </a>
                    </div>
                <pre class='brush:java;toolbar:false;'>private static final String ALGORITHM = "HmacSHA256";

public static String generateSignature(TreeMap<String, String> params, String secretKey) throws Exception {
    StringBuilder sb = new StringBuilder();
    for (Map.Entry<String, String> entry : params.entrySet()) {
        if (!"signature".equals(entry.getKey())) {
            sb.append(entry.getKey()).append("=").append(entry.getValue()).append("&");
        }
    }
    // 移除末尾&
    if (sb.length() > 0) sb.setLength(sb.length() - 1);

    Mac mac = Mac.getInstance(ALGORITHM);
    SecretKeySpec keySpec = new SecretKeySpec(secretKey.getBytes(StandardCharsets.UTF_8), ALGORITHM);
    mac.init(keySpec);

    byte[] hmacBytes = mac.doFinal(sb.toString().getBytes(StandardCharsets.UTF_8));
    return bytesToHex(hmacBytes);
}

private static String bytesToHex(byte[] bytes) {
    StringBuilder result = new StringBuilder();
    for (byte b : bytes) {
        result.append(String.format("%02x", b));
    }
    return result.toString();
}

登录后复制

}

3. 客户端请求构造示例

客户端在调用API前，先构造参数并生成签名：

TreeMap<String, String> params = new TreeMap<>();
params.put("appId", "your_app_id");
params.put("timestamp", String.valueOf(System.currentTimeMillis()));
params.put("nonce", UUID.randomUUID().toString().replace("-", ""));
params.put("userId", "1001");
params.put("userName", "zhangsan");
<p>String secretKey = "your_secret_key";
String signature = ApiSignUtil.generateSignature(params, secretKey);
params.put("signature", signature);</p><p>// 发送HTTP请求（如使用OkHttp或HttpClient）</p>

登录后复制

4. 服务端验证逻辑

服务端接收到请求后，执行以下步骤：

校验 appId 是否合法
检查 timestamp 是否在允许的时间窗口内（如 ±5分钟），防止重放
使用 appId 查询对应的 secretKey
将所有参数（除 signature 外）按字典序排序并拼接
使用相同算法生成签名并与传入的 signature 比对

伪代码示意：

if (Math.abs(System.currentTimeMillis() - timestamp) > 300000) {
    throw new RuntimeException("请求已过期");
}
<p>String expectedSign = ApiSignUtil.generateSignature(receivedParams, secretKey);
if (!expectedSign.equals(receivedSign)) {
throw new RuntimeException("签名验证失败");
}</p>

登录后复制

基本上就这些。只要保证参数排序规则、编码方式、签名算法一致，就能实现可靠的接口认证。注意 secretKey 要妥善保管，建议配合 HTTPS 使用，进一步提升安全性。

以上就是java怎么实现API接口签名认证通过签名算法保障接口安全的详细内容，更多请关注php中文网其它相关文章！