如何设计API产品的认证部分?

访客4年前黑客资讯924

API产品的认证部分应该如何设计?本文结合作者自己的工作实践经历,对身份验证、对称签名身份验证、非对称加密的签名认证三种方式进行了分析,与大家分享。

如何设计API产品的认证部分?

做平台产品,绕不开API。当然API也需要伴侣,就是SDK。SDK可以把API的多次交互封装起来,让用户(开发者)只需要调用一个 *** ,就能完成一个需要多次调用API的业务。

在使用API的时候,它必须知道是谁来使用这个API,这就需要身份认证。最常见的身份认证,是通过账户密码登陆网站。不过现在这种操作越来越少了,现在主流的登陆方式,要么是手机验证码登陆,要么是微信扫码登陆,要么是调用其他账号的登陆。

先来看看传统登陆方式,数据库存放用户名和密码。

如何设计API产品的认证部分?

假设,用户名为tom,密码为123456。则用户登陆时,把tom和123456 POST到服务器。服务器去数据库里一找,发现有tom,密码也确实是123456,那么就登陆成功,也就是完成了身份认证。

这是典型的明文账户系统。它更大的缺点,是不安全。一旦数据库泄露,就知道了用户的密码,这个时候,就可以去撞库(用tom的密码123456去登陆tom在别的网站的账号)。

有时候,明文保存密码是黑客特意设置的,黑客设置一个网站吸引别人用邮箱去注册,明文保存了用户的密码。

为了安全起见,数据库采用加密的方式保存密码,而且一定是单项的,只能加密,不能解密。

如何设计API产品的认证部分?

如上图所示,这是经过md5处理的密码。当用户登陆的时候,发送用户名和经过md5处理的密码,后台去数据库里查询,查询到了说明登陆成功,否则就是登陆失败。

这样的好处是,黑客嗅探出了你的密码,也仅仅能登陆你登陆的这个网站,他不能还原出你加密前的明文,也就无法去撞库。即便网站数据库泄露了,也很难知道你真正的密码。

但是,现在有一些md5搜集器,搜集了很多明文密码,并使用md5加密后存在数据库里。

如何设计API产品的认证部分?

这样,如果你的密码是常规的密码,则很容易被逆向(查询)出来。比如:

如何设计API产品的认证部分?

它很容易就能查出你的原始密码,它仅仅是查询,而不是破解。因为有大量的常规的普遍的密码和加密后的md5被存进去。

如果想进一步安全,怎么办?办法也是有的,那就是使用公私钥的方式。

如何设计API产品的认证部分?

用户登陆,系统产生一个随机数,发送给用户。用户需要使用私钥对这个随机数进行签名,发给系统。系统用公钥验签,完成身份认证。

虽然这种 *** 安全,但是认证时间长,对服务器造成的压力也很大。在做产品设计的时候,成本因素也是一个必须考虑的问题,包括时间成本,服务器算力成本等。

这需要产品经理根据应用场景及安全级别去评估,取舍。而不是一味的选择更安全的系统。

刚才提到的是用户身份验证。而API中,更多的操作,是针对某个产品的权限的。

如何设计API产品的认证部分?

如上图所示,一个用户可以创建多个项目,每个项目都有一个key。我们假设,应用1用的是简单身份验证,应用1的key是一个具备一定长度的字符串。任何人只要知道这个字符串,就可以对其进行操作。

应用2比应用1安全一些,采用的是keyID+keySecret的方式,也就是hmac-sha256签名机制。它会用密钥对keyID、调用的API、参数、时间等进行签名,因为服务器也有一个相同的keySecret,可以用来验证签名,以确定身份。

应用3就是更安全的,它有keyID和keyPubkey,即公钥。调用的时候,使用私钥对API、 *** 、参数、时间等进行签名,服务器使用私钥对应的公钥对签名进行验签,但时间会长一些。

如何设计API产品的认证部分?

总结一下, 通常API身份验证有两种:简单身份验证,和签名身份验证。下面举例子,说明哪些领域使用哪些身份验证 *** 。

相关文章

OA系统实施各阶段如何提高项目质量?

OA系统实施各阶段如何提高项目质量?

对一款OA系统来说,除了从源头入手,做好模块化架构外,还可以通过哪些层面确保OA系统的高质量,给用户打造良好的体验呢?本文将针对这一问题做仔细展开,希望对你有帮助。 大家在提到质量的时候大多会想到一...

探秘方便速食赛道:你为螺蛳粉和自嗨锅上头了吗?

探秘方便速食赛道:你为螺蛳粉和自嗨锅上头了吗?

宅家期间,人们自由外出吃吃喝喝的需求难以得到满足,于是人们将目光聚集到了方便速食食品上,从而进一步加速了这一行业在特殊时期下的发展与崛起。 举国宅家的这些日子,爱吃的中国人分化出两条路线:一条是心灵...

一篇文章教你搞懂10种电商模式

一篇文章教你搞懂10种电商模式

电商可不止C2C、B2C、B2B这几种,本文作者对常见的10种比较成熟的电商模式进行了梳理盘点,并介绍了相应的业务流程、盈利模式以及背后的商业逻辑。与大家分享。 谈及“电商”二字,想写的内容确实有太...

外包产品经理如何华丽转身?

外包产品经理如何华丽转身?

在产品经理群体中,即有专心供职于一家公司的,也有专注于当外包产品经理的。那么这两种类型的产品经理在工作内容与能力要求上有何差异呢?作为外包产品经理又该如何提升工作能力呢? 这得从一个故事说起: 历经...

注意力碎片时代,如何让用户记住你的品牌?

注意力碎片时代,如何让用户记住你的品牌?

在时间与注意力都被互联网切割成碎片的时代,如何才能吸引人们的注意力,从而让公司的品牌被用户看到并且被记住呢?这篇文章从三个部分思考了这个问题,感兴趣的小伙伴不要错过啦! 病毒的出现伴随着2020年春...

需求分析师和产品经理有什么区别?

需求分析师和产品经理有什么区别?

很多人认为需求分析师与产品经理都围绕需求的调研、规划、实现展开,并没有什么差异。但事实上,二者在岗位职责、工作内容上都有非常大的差别。笔者作为一名需求分析师,就和大家聊聊他们的区别。 需求分析师和产...