寫開放的API接口時是如何保證數據的安全性的？我們通過http post 和get請求服務器的時候，會面臨安全性的問題
一.思考
- 安全性問題包括那些？
- 如何能做到足夠安全？
安全性問題:（解決一下四個問題就能保證安全性，但也不是絕對的）
- 請求（來源身份）是否合法？
- 請求參數是否被篡改？
- 請求的唯一性（不可多次請求）
MD5參數簽名的方式：
1.給app分配對應的key、secret
2.Sign簽名，調用API 時需要對請求參數進行簽名驗證，簽名方式如下：
a. 按照請求參數名稱將所有請求參數按照字母先後順序排序得到：keyvaluekeyvalue…keyvalue 字符串如：將arong=1,mrong=2,crong=3 排序爲：arong=1, crong=3,mrong=2 然後將參數名和參數值進行拼接得到參數字符串：arong1crong3mrong2。
b. 將secret加在參數字符串的頭部後進行MD5加密 ,加密後的字符串需大寫。即得到簽名Sign
api接口代碼:
app調用：http://api/getproducts?key=app_key&sign=BCC7C71CF93F9CDBDB88671B701D8A35&參數1=value1&參數2=value2…….
注：secret 僅作加密使用, 爲了保證數據安全請不要在請求參數中使用。
如上，優化後的請求多了key和sign參數，這樣請求的時候就需要合法的key和正確簽名sign纔可以獲取產品數據。這樣就解決了身份驗證和防止參數篡改問題，如果請求參數被人拿走，沒事，他們永遠也拿不到secret,因爲secret是不傳遞的。再也無法僞造合法的請求。
但是…這樣就夠了嗎？細心的同學可能會發現，如果我獲取了你完整的鏈接，一直使用你的key和sign和一樣的參數不就可以正常獲取數據了…-_-!是的，僅僅是如上的優化是不夠的
請求的唯一性：
爲了防止別人重複使用請求參數問題，我們需要保證請求的唯一性，就是對應請求只能使用一次，這樣就算別人拿走了請求的完整鏈接也是無效的。
唯一性的實現：在如上的請求參數中，我們加入時間戳 ：timestamp（yyyyMMddHHmmss），同樣，時間戳作爲請求參數之一，也加入sign算法中進行加密。
新的api接口：
app調用：
http://api/getproducts?key=app_key&sign=BCC7C71CF93F9CDBDB88671B701D8A35×tamp=201603261407&參數1=value1&參數2=value2…….
如上，我們通過timestamp時間戳用來驗證請求是否過期。這樣就算被人拿走完整的請求鏈接也是無效的。
Sign簽名安全性分析：
通過上面的案例，我們可以看出，安全的關鍵在於參與簽名的secret，整個過程中secret是不參與通信的，所以只要保證secret不泄露，請求就不會被僞造。