详解淘宝H5 sign加密算法


Posted in HTML / CSS onAugust 25, 2020

淘宝对于h5的访问采用了和客户端不同的方式,由于在h5的js代码中保存appsercret具有较高的风险,mtop采用了随机分配令牌的方式,为每个访问端分配一个token,保存在用户的cookie中,通过cookie带回服务端分配的token, 客户端利用分配的token对请求的URL参数生成摘要值sign,MTOP利用这个摘用值和cookie中的token来防止URL篡改。

流程

当本地cookie中的token为空时(通常是第一次访问),mtop会收到”FAIL_SYS_TOKEN_EXOIRED:: 令牌过期“这个错误应答,同时mtop会生成token写入cookie中(response.cookies);
第二次请求时,js通过读取cookie中的token值,按照约定的算法生成sign, sign在mtop的请求中带上,mtop通过cookie中和token用同样的方式计算出sign,与请求的sign进行比较,检查通过将返回api的应答,失败提示“FAIL_SYS_ILLEGAL_ACCESS:: 非法请求”;

cookie中的token是有时效性的,遇到token失效时,将收到应答"FAIL_SYS_TOKEN_EXOIRED:: 令牌过期", 同时会写入新的token,js利用新的token重新计算sign并重发请求;
关于cookie中的token的自我检查,由于token在cookie中是明文的,可能会被仿冒,在输出的cookie中包含一个用非对称密钥的公钥加密后的token, MTOP在每次请求时会先检查cookie中的token是否是由服务端分配出去的(利用加密后的token和私钥还原token,与回传的明文token比较)

sign 生成

关于sign的生成公式:

md5Hex(token&t&appKey&data)

如:md5Hex("30dc68e5b4cf40ebd02fb05673c7e3b7&1572522062317&12345678&{"itemNumId":"1502111132496"}")

sign=4c1e7b6853fa7a5e1b8f7066ee22932f

实现代码:

public static String calcSignature(String token, String timestamp, String appKey, String data) {
        return DigestUtils.md5Hex(StringUtils.trimToEmpty(token) + "&"
                + timestamp + "&" + appKey + "&" + data);
    }

    public static void main(String[] args) {
        String token="30dc68e5b4cf40ebd02fb05673c7e3b7";
        String timestamp="1572522062317";
        String sign = calcSignature(token, timestamp, "12345678", "{\"itemNumId\":\"1502111132496\"}");
        System.out.println(sign);
    }

token

m_h5tk: 格式为 明文token_expireTime, 从response.cookies处获取,如: 30dc68e5b4cf40ebd02fb05673c7e3b7_1572522062317

token就是 30dc68e5b4cf40ebd02fb05673c7e3b7
失效时间是 1572522062317

可封装在一个类中负责存储token

@Data
@NoArgsConstructor
@AllArgsConstructor
@Builder
public class Credentials implements Comparable<Credentials> {
    private String _m_h5_tk;
    private String _m_h5_tk_enc;

    private static final int OFFSET = 60000;

    public String getToken() {
        return StringUtils.isEmpty(_m_h5_tk) ? null : _m_h5_tk.substring(0, _m_h5_tk.indexOf("_"));
    }

    public long getExpireTimestamp() {
        long t = new Date().getTime() - OFFSET;
        if (StringUtils.isEmpty(_m_h5_tk) || StringUtils.isEmpty(_m_h5_tk_enc)) {
            return t;
        }
        try {
            return Long.parseLong(_m_h5_tk.substring(_m_h5_tk.indexOf("_") + 1));
        } catch (NumberFormatException e) {
            return t;
        }
    }

    public boolean isExpired() {
        if (StringUtils.isEmpty(_m_h5_tk) || StringUtils.isEmpty(_m_h5_tk_enc)) {
            return true;
        }
        return new Date().getTime() > getExpireTimestamp();
    }

    @Override
    public int compareTo(Credentials o) {
        return Long.compare(o.getExpireTimestamp(), this.getExpireTimestamp());
    }
}

t
很简单,即时间戳 通过 new Date().getTime() 获得

appKey
固定数值 通过抓包工具在请求参数中可获得,参数名 appKey

data
提交的参数 通过抓包工具在请求参数中可获得 通常是一个JSON字符串

到此这篇关于详解淘宝H5 sign加密算法的文章就介绍到这了,更多相关淘宝H5 sign加密内容请搜索三水点靠木以前的文章或继续浏览下面的相关文章,希望大家以后多多支持三水点靠木!

HTML / CSS 相关文章推荐
一款利用html5和css3实现的3D立方体旋转效果教程
Apr 26 HTML / CSS
CSS3五个技巧给你的网站带来出色的效果
Apr 02 HTML / CSS
CSS3 开发工具收集
Apr 17 HTML / CSS
详解css3中的伪类before和after常见用法
Nov 17 HTML / CSS
HTML5等待加载动画效果
Jul 27 HTML / CSS
使用css如何制作时间ICON方法实践
Nov 12 HTML / CSS
HTML5之SVG 2D入门12—SVG DOM及DOM操作介绍
Jan 30 HTML / CSS
使用jTopo给Html5 Canva中绘制的元素添加鼠标事件
May 15 HTML / CSS
HTML5之语义标签介绍
Jul 07 HTML / CSS
HTML5拖拉上传文件的简单实例
Jan 11 HTML / CSS
教你做个可爱的css滑动导航条
Jun 15 HTML / CSS
带你了解CSS基础知识,样式
Jul 21 HTML / CSS
AmazeUI 等分网格的实现示例
Aug 25 #HTML / CSS
AmazeUI 点击元素显示全屏的实现
Aug 25 #HTML / CSS
AmazeUI 按钮交互的实现示例
Aug 24 #HTML / CSS
amazeui页面校验功能的实现代码
Aug 24 #HTML / CSS
amazeui树节点自动展开折叠面板并选中第一个树节点的实现
Aug 24 #HTML / CSS
如何使用amaze ui的分页样式封装一个通用的JS分页控件
Aug 21 #HTML / CSS
Canvas波浪花环的示例代码
Aug 21 #HTML / CSS
You might like
让Json更懂中文(JSON_UNESCAPED_UNICODE)
2011/10/27 PHP
php删除文本文件中重复行的方法
2015/04/28 PHP
使用Huagepage和PGO来提升PHP7的执行性能
2015/11/30 PHP
JavaScript高级程序设计 阅读笔记(十八) js跨平台的事件
2012/08/14 Javascript
用C/C++来实现 Node.js 的模块(二)
2014/09/24 Javascript
使用JavaScript获取地址栏参数的方法
2014/12/19 Javascript
浅析JS动态创建元素【两种方法】
2016/04/20 Javascript
js中的eval()函数把含有转义字符的字符串转换成Object对象的方法
2016/12/02 Javascript
element-ui上传一张图片后隐藏上传按钮功能
2019/05/22 Javascript
websocket4.0+typescript 实现热更新的方法
2019/08/14 Javascript
vue 取出v-for循环中的index值实例
2019/11/09 Javascript
Windows下安装 node 的版本控制工具 nvm
2020/02/06 Javascript
Python版实现微信公众号扫码登陆
2020/05/28 Javascript
vue实现自定义多选按钮
2020/07/16 Javascript
原生JS实现九宫格抽奖
2020/09/13 Javascript
利用PHP实现递归删除链表元素的方法示例
2020/10/23 Javascript
[00:32]DOTA2上海特级锦标赛 Ehome战队宣传片
2016/03/03 DOTA
python实现文本去重且不打乱原本顺序
2016/01/26 Python
Linux中安装Python的交互式解释器IPython的教程
2016/06/13 Python
python中返回矩阵的行列方法
2018/04/04 Python
python 文本单词提取和词频统计的实例
2018/12/22 Python
django最快程序开发流程详解
2019/07/19 Python
给Python学习者的文件读写指南(含基础与进阶)
2020/01/29 Python
在 Pycharm 安装使用black的方法详解
2020/04/02 Python
Django ORM实现按天获取数据去重求和例子
2020/05/18 Python
分享8款纯CSS3实现的搜索框功能
2017/09/14 HTML / CSS
世界上最大的在线旅行社新加坡网站:Expedia新加坡
2016/08/25 全球购物
房地产项目建议书
2014/03/12 职场文书
电子商务专业应届生求职信
2014/05/28 职场文书
2014年党员加强作风建设思想汇报
2014/09/15 职场文书
客户经理岗位职责大全
2015/04/09 职场文书
调解书格式范本
2015/05/20 职场文书
python中的装饰器该如何使用
2021/06/18 Python
Mysql 8.x 创建用户以及授予权限的操作记录
2022/04/18 MySQL
CentOS MySql8 远程连接实战
2022/04/19 MySQL
pd.DataFrame中的几种索引变换的实现
2022/06/16 Python