[發(fā)明專利]一種https接口請求方法

有效

• 申請?zhí)枺?/td>: 202010821180.5
• 申請日: 2020-08-14
• 公開（公告）號(hào): CN111935164B
• 公開（公告）日: 2022-11-08
• 發(fā)明（設(shè)計(jì)）人: 郭健;崔樂樂;單震
• 申請（專利權(quán)）人: 天元大數(shù)據(jù)信用管理有限公司
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40;H04L9/06;H04L9/32;H04L67/02
• 代理公司: 濟(jì)南信達(dá)專利事務(wù)所有限公司 37100
• 代理人: 姜鵬

1.一種https接口請求方法，基于接口調(diào)用方，其特征在于：所述方法包括如下步驟：

S1、向接口提供方申請接口token；所述接口token包括api_token和user_token，所述api_token用于調(diào)用非登陸接口，所述user_token用于調(diào)用需要登陸的接口；

步驟S1中，向接口提供方申請api_token的過程包括：

S101、向接口提供方提出申請；

S102、申請成功后，接收提供方提供的一個(gè)appid和一個(gè)key參數(shù)；

S103、接口調(diào)用方通過appid、timestamp、sign去換取api_token，其中sign為加密后的appid+timestamp+key+nnonce，其中timestamp為當(dāng)前調(diào)用時(shí)間的時(shí)間戳，nonce為隨機(jī)字符串，且nonce的生成規(guī)則接口調(diào)用方與接口提供方一致，且對外保密；

S2、通過接口token調(diào)用接口提供方的接口，并發(fā)送包括安全驗(yàn)證消息和業(yè)務(wù)數(shù)據(jù)的加密數(shù)據(jù)包到接口提供方；

S3、調(diào)用接口，得到接口提供方的返回?cái)?shù)據(jù)和返回驗(yàn)證消息；

S4、通過返回驗(yàn)證消息驗(yàn)證返回?cái)?shù)據(jù)是否被非法篡改，當(dāng)驗(yàn)證通過后對返回?cái)?shù)據(jù)進(jìn)行處理。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于：步驟S2中，所述安全驗(yàn)證消息包括一個(gè)隨機(jī)密鑰和api_token，對業(yè)務(wù)數(shù)據(jù)和安全驗(yàn)證消息的加密過程包括：

S201、用所述隨機(jī)密鑰和固定密鑰串對所述業(yè)務(wù)數(shù)據(jù)進(jìn)行DES加密，生成加密后的業(yè)務(wù)數(shù)據(jù)；

S202、將安全驗(yàn)證消息與加密后的業(yè)務(wù)數(shù)據(jù)一起進(jìn)行ASE256加密，生成加密數(shù)據(jù)包發(fā)送給接口提供方。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于：在上述api_token的基礎(chǔ)上，通過用戶名和密碼換取user_token，通過獲得的user_token訪問需要用戶登陸的接口。

4.一種https接口請求方法，基于接口提供方，其特征在于：所述方法包括如下步驟：

S1、接受接口調(diào)用方的接口請求，返回給接口調(diào)用方的接口token，并將該接口token存入到redis緩存內(nèi)，并設(shè)置有效期；所述接口token包括api_token和user_token，所述api_token用于調(diào)用非登陸接口，所述user_token用于調(diào)用需要登陸的接口；

S2、接收接口調(diào)用方發(fā)送的加密數(shù)據(jù)包，并驗(yàn)證該加密數(shù)據(jù)包的來源是否安全，所述加密數(shù)據(jù)包包括安全驗(yàn)證數(shù)據(jù)和業(yè)務(wù)數(shù)據(jù)；

S3、對加密數(shù)據(jù)包的來源驗(yàn)證通過以后對加密數(shù)據(jù)包進(jìn)行解密，從安全驗(yàn)證數(shù)據(jù)中獲取接口token并校驗(yàn)該接口token是否有效；

所述接口調(diào)用方發(fā)送來的加密數(shù)據(jù)包的加密過程為先將業(yè)務(wù)數(shù)據(jù)進(jìn)行DES加密，再將安全驗(yàn)證數(shù)據(jù)和加密后的業(yè)務(wù)數(shù)據(jù)一起通過ASE256進(jìn)行加密；

對該加密數(shù)據(jù)包的解密過程包括：

S301、對加密數(shù)據(jù)包通過ASE256進(jìn)行解密，得到隨機(jī)密鑰、接口token和加密后的業(yè)務(wù)數(shù)據(jù)；

S302、檢驗(yàn)接口token的有效性；

S303、檢驗(yàn)通過后使用獲得的隨機(jī)密鑰以及固定密鑰串對DES加密后的業(yè)務(wù)數(shù)據(jù)進(jìn)行解密；檢驗(yàn)不通過時(shí)，向接口調(diào)用方返回錯(cuò)誤信息；

S4、對業(yè)務(wù)數(shù)據(jù)進(jìn)行處理后，將返回?cái)?shù)據(jù)發(fā)回給接口調(diào)用方；對業(yè)務(wù)數(shù)據(jù)處理后生成返回?cái)?shù)據(jù)，在將返回?cái)?shù)據(jù)發(fā)送給接口調(diào)用方的同時(shí)，返回sign用于校驗(yàn)返回的數(shù)據(jù)是否被串改，其中sign為加密后的appid+timestamp+key+nnonce，其中timestamp為當(dāng)前調(diào)用時(shí)間的時(shí)間戳，nonce為隨機(jī)字符串，且nonce的生成規(guī)則接口調(diào)用方與接口提供方一致，且對外保密。

5.根據(jù)權(quán)利要求4所述的方法，其特征在于：當(dāng)接口調(diào)用方的接口調(diào)用請求過來時(shí)，查詢r(jià)edis緩存中是否存在該接口token，當(dāng)存在時(shí)則調(diào)用該接口，否則返回錯(cuò)誤提示。

6.根據(jù)權(quán)利要求5所述的方法，其特征在于：步驟S1中，當(dāng)接收到接口調(diào)用方的加密消息包時(shí)，驗(yàn)證加密數(shù)據(jù)包的origin和referrer，確認(rèn)消息的來源安全。