api认证

我们在给别人提供api或者在使用别人的api的时候，往往需要考虑api的调用来自我们授权的或者合法的请求。对于不合法请求我们做相应的处理。

• 在发送数据的时候。需要做验证：比如说我们授予的合法key。

在推送数据的时候，无论是get还是post数据，在传输的数据的时候需要携带我们指定的key值，推送到后台做验证，在接口方，后台接收到推送数据的时候，

对key值得验证，如果正确的话，后台进行处理，如果不正确，做相应的处理。

#!/usr/bin/env python
# -*- coding:utf-8 -*-

import tornado.ioloop
import tornado.web
vail_key=['123','231']

class MainHandler(tornado.web.RequestHandler):
    def get(self):
        rz=self.get_argument('rz')
        username=self.get_argument('username')
        print(rz,username)
        if rz in  vail_key:
            self.write("Hello, world")
        else:
            self.write("permission deny!")

application = tornado.web.Application([ #路由系统。
    (r"/index", MainHandler),
])


if __name__ == "__main__":
    application.listen(8888)
    tornado.ioloop.IOLoop.instance().start()#让程序建立socket的监听。并处于永远循环中。。。接收客户端请求。

模拟客户端：

#!/usr/bin/env python
#-*-coding:utf-8-*-
# author:liumeide
import requests


r=requests.get('http://127.0.0.1:8888/index?username=evil&&rz=123',)
print(r.text)

 

适用场景：

• 简单的公司内网之间的接口调用可以这样写。

如上的api认证，有个弊端，因为在传输的过程中被其他人劫持的话，很容抓到我们验证的key值，如果这样的话，一个key可以被很多人使用并发送数据。这样一个接口被多个人利用。

解决劫持和一个key被多个人利用，还需要保持验证key值是需要不断发生变化，防止其他人在劫持的时候，发送相同的加密串。还需要保持在后端验证的时候，一个key值只能使用一次。

总结为：

• 验证key需要加密、验证key需要不断的发生变化。我们采用时间来和验证的字符串拼接加密、发送的时候将加密的串和被加密的时间串一起发送给后端验证。后端进行相应的解密和验证。
• 要保持加密的key值只能使用一次，我们可以在后台维护一个列表，当然实际生产中需要写在redis，里面存的是：之前已经请求的验证的key值。我们需要设定一个过期时间，如果不设定过期时间的话。这个列表会越来越大。不易维护。
• 需要设定的一个超时的时间，比如当前时间和传递过来的时间差不超过20s的时间戳属于合理的请求，反之是非法。这个是防止其他人在劫持我们的验证key时候，而我们的保存加密key的列表已经删除之前的key的值，而导致合法的问题的。

#!/usr/bin/env python
# -*- coding:utf-8 -*-

import tornado.ioloop
import tornado.web
import  co
import oc
import hashlib
import time
vail_key=['123','321']
his_key=[]
def md5(x):
    md=hashlib.md5()
    md.update(x)
    return md.hexdigest()


class MainHandler(tornado.web.RequestHandler):
    def get(self):
        accp_key=self.get_argument('key')
        sec_key=accp_key.split('|')
        c_time=sec_key[-1]
        now_time=time.time()#20秒之后过期。time.time()时间单位为妙。
        if now_time -float(c_time) <20:#小于20秒时间的请求为合理。
            if sec_key[0] not  in his_key:#解决api多次使用问题。
                for i in vail_key:
                    i=md5(bytes(c_time+'|'+i,encoding='utf-8'))
                    if i ==sec_key[0]:
                        self.write('vali data!')
                        his_key.append(sec_key[0])
                        print(accp_key)
                        return
                self.write('permission deny！')
            else:
                self.write('permission deny!')
        else:
            self.write('permission deny!')
setting={
    'template_path':'template',#设置模板文件路径。
    'static_path':'static',#设置静态资源路径
    'ui_methods':co,
    'ui_modules':oc,
}
application = tornado.web.Application([
    (r"/index", MainHandler),
],**setting)

if __name__ == "__main__":
    application.listen(8888)
    tornado.ioloop.IOLoop.instance().start()

 

 注意：

• 如上his_key没有实现过期时间。

客户端：

import  requests
import time
import hashlib

def md5(x):
    md=hashlib.md5()
    md.update(x)
    return md.hexdigest()

def send_api():
    time_str=str(time.time())
    sec_key=time_str+'|'+'123'
    sec_key=md5(bytes(sec_key,encoding='utf-8'))
    # send_data=sec_key+"|"+time_str
    send_data='92c60818a8da7e25d513d87c17acee5c|1478039134.724497'
    r=requests.get('http://127.0.0.1:8888/index?key=%s'%(send_data))
    print(r.text)

if __name__ == '__main__':
    send_api()

 

上面的接口认证还存在一个问题：如果劫持这的网络好于合法者，也就是说 劫持者比合法者更快发送加密串的话。就会导致这个问题。在代码级别上无法解决！