API开放平台接口设计-------令牌方式

1.需求:现在A公司与B公司进行合作，B公司需要调用A公司开放的外网接口获取数据，如何保证外网开放接口的安全性?

2,使用令牌方式

比如支付宝对外提供支付的接口，爱乐生公司需要调用支付宝的接口。在爱乐生调用支付宝接口的时候，支付宝进行过滤器拦截，查看参数中的accessToken信息，是否能在redis缓存中的找到对应的公司，且同时对对方开放。如果没问题，则可以调用接口。

令牌的设计方式一般会设计到以下几个参数：

App_Name       表示机构名称

App_ID          应用id

App_Secret      应用密钥  （可更改）

Is_flag           是否可用 （是否对某个机构开放）

access_token  上一次access_token

3，生成accessToken 的接口：

package com.zfb.api.controller;

import java.util.UUID;

import org.springframework.beans.factory.annotation.Autowired;

import org.springframework.stereotype.Controller;

import org.springframework.web.bind.annotation.RequestMapping;

import org.springframework.web.bind.annotation.ResponseBody;

import com.zfb.base.Response;

import com.zfb.entity.AppEntity;

import com.zfb.mapper.AppMapper;

import com.zfb.response.IndexResponse;

import com.zfb.utils.BaseRedisService;

@Controller

public class Index extends Response {

    @Autowired

    private BaseRedisService baseRedisService;

    @Autowired

    private AppMapper appMapper;

    private static final long TIMEOUT = 60 * 60 * 60;

    @RequestMapping("/index")

    @ResponseBody

    private String index() {

        return "index";

    }

    @RequestMapping("/postAccessToken")

    @ResponseBody

    private String postAccessToken() {

        AppEntity appEntity  = new AppEntity();

        appEntity.setAppId("1QA2was");//不可变

        appEntity.setAppName("aiyusheng");

        appEntity.setAppSecret("ssss");

        appEntity.setId(1);

        appEntity.setIsFlag(0);

        getAccessToken(appEntity);

        return "index";

    }

    /**

     * 访问获取accessToken appid+appsecret 1,如果找这个机构，说明无权访问 2,如果if_flag为1,说明接口关闭了

     * 3,如果找到这个机构，且为0的话，开始生成access_token 3.1,redis 缓存中先删除之前的access_oken

     * 3.2,创建新的access_token,同时放入到缓存中

     *

     * @return

     */

    @RequestMapping("/getAccessToken")

    @ResponseBody

    private String getAccessToken(AppEntity appEntity) {

        AppEntity findApp = appMapper.findApp(appEntity);

        // 如果找到这个机构，且为0的话，开始生成access_token

        IndexResponse response = firstCheck(new IndexResponse(), findApp);

        if (response.getRtnCode() != 200) {

            return "fail";

        }

        String accessToken = findApp.getAccessToken();

        baseRedisService.delKey(accessToken);

        String generateAccessToken = generateAccessToken(findApp.getAppId(), findApp.getAppSecret());

        //更新mysql 数据库

        appMapper.updateAccessToken(generateAccessToken, appEntity.getAppId());

        return "success";

    }

    public String generateAccessToken(String appid, String appSecret) {

        String accessToken = UUID.randomUUID().toString() + "_" + appid + "_" + appSecret;

        baseRedisService.setString(accessToken, appid, TIMEOUT);

        return accessToken;

    }

    public IndexResponse firstCheck(IndexResponse indexResponse, AppEntity findApp) {

        if (findApp == null) {

            indexResponse.setResultError("没有对应的机构");

            return null;

        }

        if (findApp.getIsFlag() != 0) {

            indexResponse.setResultError("没有对" + findApp.getAppName() + "开放");

            return indexResponse;

        }

        // 查询成功

        indexResponse.setRtnCode(200);

        return indexResponse;

    }

}

过滤器：

package com.zfb.filter;

import java.io.IOException;

import javax.servlet.Filter;

import javax.servlet.FilterChain;

import javax.servlet.FilterConfig;

import javax.servlet.ServletException;

import javax.servlet.ServletRequest;

import javax.servlet.ServletResponse;

import javax.servlet.annotation.WebFilter;

import org.apache.commons.lang.StringUtils;

import org.springframework.beans.factory.annotation.Autowired;

import com.zfb.utils.BaseRedisService;

@WebFilter(filterName = "tokenAccessFilter", urlPatterns = "/pay/*")

public class TokenAccessFilter implements Filter {

    @Autowired

    private BaseRedisService baseRedisService;

    public void init(FilterConfig filterConfig) throws ServletException {

    }

    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)

            throws IOException, ServletException {

        String accessToken = request.getParameter("accessToken");

        if (!StringUtils.isEmpty(accessToken)) {

            //redis 里面的key 是 accessToken  value是appid

            String appid = (String) baseRedisService.getString(accessToken);

            // 代表没有过期

            if (!StringUtils.isEmpty(appid)) {

                chain.doFilter(request, response);

            }

        }

    }

    public void destroy() {

    }

}