webapi通用签名的验证(二)

小渣渣

对Web API签名的封装，验证时间戳随机数密钥等
http://www.itsvse.com/thread-3274-1-1.html
(出处: 架构师)

上面是以前写的，有点bug，下面是新版的通用验证方案

1. #region -   版   权   信   息  -
   
2.         //======================================================
   
3.         //
   
4.         //      创 建 人：小渣渣
   
5.         //      创建时间：2017/06/26 15:39:31
   
6.         //      邮    箱：help@itsvse.com
   
7.         //      个人网站：http://www.itsvse.com
   
8.         //      功    能：
   
9.         //      修改纪录：
   
10.         //
    
11.         //======================================================
    
12.         #endregion
    
13. 
    
14.         public class AuthFilterAttribute : ActionFilterAttribute
    
15.         {
    
16.                 private const string Origin = "Origin";
    
17.                 private const string AccessControlAllowOrigin = "Access-Control-Allow-Origin";
    
18.                 private const string originHeaderdefault = "*";
    
19.                 /// <summary>
    
20.                 /// 签名
    
21.                 /// </summary>
    
22.                 private static string[] sign = { "nonce", "timestamp", "signature" };
    
23. 
    
24.                 /// <summary>
    
25.                 /// 走完api之后
    
26.                 /// </summary>
    
27.                 /// <param name="actionExecutedContext"></param>
    
28.                 public override void OnActionExecuted(HttpActionExecutedContext actionExecutedContext)
    
29.                 {
    
30.                         actionExecutedContext.Response.Headers.Add(AccessControlAllowOrigin, originHeaderdefault);
    
31.                 }
    
32. 
    
33.                 /// <summary>
    
34.         /// 进api之前
    
35.         /// </summary>
    
36.         /// <param name="actionContext"></param>
    
37.                 public override void OnActionExecuting(System.Web.Http.Controllers.HttpActionContext actionContext)
    
38.                 {
    
39. 
    
40.                         try
    
41.                         {
    
42.                                 HttpContextBase context = (HttpContextBase)actionContext.Request.Properties["MS_HttpContext"];
    
43.                                 #region 判断签名必要的参数
    
44.                                 foreach (var item in sign)
    
45.                                 {
    
46.                                         if (!context.Request.QueryString.AllKeys.Any(x => x.Equals(item, StringComparison.OrdinalIgnoreCase)))
    
47.                                         {
    
48.                                                 //不包含
    
49.                                                 ReturnModel model = new ReturnModel()
    
50.                                                 {
    
51.                                                         result = false,
    
52.                                                         code = 15,
    
53.                                                         message = "Missing " + item
    
54.                                                 };
    
55.                                                 actionContext.Response = actionContext.Request.CreateResponse(HttpStatusCode.OK, model);
    
56.                                                 return;
    
57.                                         }
    
58.                                 }
    
59.                                 #endregion
    
60.                                 #region 判断时间戳
    
61.                                 long time = long.Parse(context.Request.QueryString["timestamp"]);
    
62.                                 bool result = Tools.TimeHelp.IsTime(time, Convert.ToDouble(ConfigurationManager.AppSettings["TimestampInterval"]));
    
63.                                 if (!result)
    
64.                                 {
    
65.                                         //时间戳不正确
    
66.                                         ReturnModel model = new ReturnModel()
    
67.                                         {
    
68.                                                 result = false,
    
69.                                                 code = 15,
    
70.                                                 message = "Time is not right!"
    
71.                                         };
    
72.                                         actionContext.Response = actionContext.Request.CreateResponse(HttpStatusCode.OK, model);
    
73.                                         return;
    
74.                                 }
    
75.                                 #endregion
    
76.                                 #region 签名
    
77.                                 SortedDictionary<string, string> dic_sign = new SortedDictionary<string, string>();
    
78.                                 foreach (var item in context.Request.QueryString.AllKeys)
    
79.                                 {
    
80.                                         if (!item.Equals("signature", StringComparison.OrdinalIgnoreCase))
    
81.                                         {
    
82.                                                 dic_sign.Add(item, context.Request.QueryString[item]);
    
83.                                         }
    
84.                                 }
    
85.                                 bool resultsign = Tools.SignHelper.Sign(ConfigurationManager.AppSettings["secretkey"], context.Request.QueryString["signature"], dic_sign);
    
86.                                 if (!resultsign)
    
87.                                 {
    
88.                                         //签名不正确
    
89.                                         ReturnModel model = new ReturnModel()
    
90.                                         {
    
91.                                                 result = false,
    
92.                                                 code = 15,
    
93.                                                 message = "The signature is not correct!"
    
94.                                         };
    
95.                                         actionContext.Response = actionContext.Request.CreateResponse(HttpStatusCode.OK, model);
    
96.                                         return;
    
97.                                 }
    
98.                                 #endregion
    
99.                         }
    
100.                         catch (Exception ex)
     
101.                         {
     
102.                                 ReturnModel model = new ReturnModel()
     
103.                                 {
     
104.                                         result = false,
     
105.                                         code = 15,
     
106.                                         message = "Exception " + ex
     
107.                                 };
     
108.                                 actionContext.Response = actionContext.Request.CreateResponse(HttpStatusCode.OK, model);
     
109.                         }
     
110.                 }
     
111.         }

复制代码

返回的model模型：

1. /// <summary>
   
2.         /// 统一的返回模型
   
3.         /// </summary>
   
4.         [Serializable]
   
5.         [DataContract]
   
6.         public class ReturnModel
   
7.         {
   
8.                 [DataMember]
   
9.                 public bool result { get; set; }
   
10. 
    
11.                 [DataMember]
    
12.                 public int code { get; set; }
    
13. 
    
14.                 [DataMember]
    
15.                 public string message { get; set; }
    
16. 
    
17.                 [DataMember]
    
18.                 public object data { get; set; }
    
19. 
    
20.         }

复制代码

在请求的接口，要求客户端必须携带时间戳、随机数、签名在url参数里面

签名判断方法如下：

游客，如果您要查看本帖隐藏内容请回复

小渣渣

接口地址：http://ip:port/api/XXX/XXX

请求方式：POST

签名方式：url参数必须带nonce、timestamp、signature

signature的值：url参数a-Z排序（排除signature）拼接value值，最后加上secretkey，然后md5
secretkey为123456


成功返回：
{
    "result": true,
    "message": "ok",
    "code": 200
}

错误返回：
{
    "result": false,
    "message": "XXX属性是必需的。",
    "code": 200
}

jinibm

GetDateTimeFrom1970Ticks 里面有点问题：return dtStart.AddMilliseconds(curSeconds); 原来是return dtStart.Addseconds(curSeconds);经查证，curSeconds应该是毫秒级的，所以改成加毫秒就对了。

netmpx

我要看隐藏内容~！！！！

1076490584

初学者，学习学习安全验证

蕾蕾的二叔

我要看隐藏的代码

微风青鸟

想看签名方法

lgr360478429

阿斯顿发阿发发送到

飞鱼

不错不错，学习了

听海船说

膜拜中，最近在搞webapi 接口安全认证

pecklu

回复看看！
- 本文出自架构师，原文地址：https://www.itsvse.com/thread-3653-1-1.html