转自：Java互联网架构师小马链接：https://www.jianshu.com/p/e2d362ede89f
前后端分离的开发方式，我们以证券 程序化交易接口,接口为标准来进行推动，定义好证券 程序化交易接口,接口，各自开发自己的功能，最后进行联调整合。无论是开发原生的APP还是webapp还是PC端的软件,只要是前后端分离的模式，就避免不了调用后端提供的证券 程序化交易接口,接口来进行业务交互。
网页或者app，只要抓下包就可以清楚的知道这个请求获取到的数据，也可以伪造请求去获取或攻击服务器；也对爬虫工程师来说是一种福音，要抓你的数据简直轻而易举。那我们怎么去解决这些问题呢？
证券 程序化交易接口,接口签名
我们先考虑一下证券 程序化交易接口,接口数据被伪造，以及证券 程序化交易接口,接口被重复调用的问题，要解决这个问题我们就要用到证券 程序化交易接口,接口签名的方案，
签名流程
签名规则
线下分配appid和appsecret，针对不同的调用方分配不同的appid和appsecret
加入timestamp，5分钟内数据有效
加入临时流水号nonce，至少为10位。针对查询证券 程序化交易接口,接口，流水号只用于日志落地，便于后期日志核查。针对办理类证券 程序化交易接口,接口需校验流水号在有效期内的唯一性，以避免重复请求。
加入签名字段signature，所有数据的签名信息。
以上字段放在请求头中。
签名的生成
签名signature字段生成规则
所有动态参数=请求头部分+请求URL地址+请求Request参数+请求Body
上面的动态参数以key-value的格式存储，并以key值正序排序，进行拼接
最后拼接的字符串在拼接appSecret
即拼接成一个字符串，然后做md5不可逆加密
请求头部分
请求头=“appId=xxxx&nonce=xxxx×tamp=xxxx&sign=xxx”
请求头中的4个参数是必须要传的，否则直接报异常
请求URL地址
这个就是请求证券 程序化交易接口,接口的地址包含协议，如
请求Request参数
即请求为Get方式的时候，获取的传入的参数
请求Body
即请求为Post时，请求体Body
从requestinputstream中获取保存为String形式
签名算法实现
基本原理其实也比较简单，就是自定义filter，对每个请求进行处理；整体流程如下
验证必须的头部参数
获取头部参数，request参数，Url请求路径，请求体Body，把这些值放入SortMap中进行排序
对SortMap里面的值进行拼接
对拼接的值进行加密，生成sign
把生成的sign和前端传入的sign进行比较，如果不相同就返回错误
我们来看一下代码
以上是filter类，其中有个appSecret需要自己业务去获取，它的作用主要是区分不同客户端app。并且利用获取到的appSecret参与到sign签名，保证了客户端的请求签名是由我们后台控制的，我们可以为不同的客户端颁发不同的appSecret。
我们再来看看验证头部参数
上其实就是验证是否传入值；不过其实有个很重要的一点，就是对此请求进行时间验证，如果大于10分钟表示此链接已经超时，防止别人来到这个链接去请求。这个就是防止盗链。
我们在来看看，如何获取各个参数
上面我们获取了各个参数，相对比较简单；我们在来看看生成sign，和验证sign
上面的流程中，会有个额外的安全处理，
·防止盗链，我们可以让链接有失效时间
·利用nonce参数，防止重复提交
在签名验证成功后，判断是否重复提交；
原理就是结合redis，判断是否已经提交过
总结
今天我们用签名的方式，对我们对外提供的证券 程序化交易接口,接口起到了保护作用；但这种保护仅仅做到了防止别人篡改请求，或者模拟请求，关注公众号码猿技术专栏，获取更多面试资源。
但是还是缺少对数据自身的安全保护，即请求的参数和返回的数据都是有可能被别人拦截获取的，而这些数据又是明文的，所以只要被拦截，就能获得相应的业务数据。
文章为作者独立观点，不代表 股票程序化软件自动交易接口观点
股民评论
壹生何求2022-09-02
一百多岁，性情又随和，在股票都只能歉到买菜钱，像我们这样毛糙的，又没有上百年的人生阅历，在这种股票会亏的认不出爹娘。