ASP.NET Web API 2 使用 DelegatingHandler（委托处理程序）实现签名认证

Ø  前言

在前一篇ASP.NET Web API 2 使用 AuthorizationFilter（授权过滤器）实现 Basic 认证文章中实现了采用 Basic 认证的方式，但是这种方式存在安全隐患，而且只适合同一体系的项目架构中。如果希望将接口对外发布，提供给其他应用程序或其他语言调用，就需要具有更高的安全性，这就是本文需要讨论话题了。

 

1.   什么是签名认证

签名认证采用了可靠的加密机制对请求进行验证，提高了接口的安全性，防止数据篡改的现象。下面是具体实现：

1)   首先，接口提供者需要提供 AppId 和 SecretKey 给调用者，只有获得的了 AppId 和 SecretKey 的调用者才有权限访问。

2)   调用者在调用接口之前，需要根据提供者给出签名方案对请求数据进行加密，通常采用不可逆的加密方式，例如：MD5、HMAC等。

3)   提供者收到请求后，同样以相同的签名方案对请求数据进行加密，再将加密的结果与调用者的加密结果进行比较，如果两者相同则认为签名成功允许继续访问，否则拒绝请求。

4)   注意：加密过程中，SecretKey 禁止被传递，通常作为密钥使用，因为就算 AppId 被截取，也不能正常签名。

 

2.   应用场景

从图中可以看出，无论是那种程序调用接口，都必须采用相同的签名方案才能正常调用，否则请求将会被拒绝。

 

3.   具体实现步骤

1)   首先，创建一个签名认证处理程序

/// <summary>

/// 签名认证处理程序。

/// </summary>

public class SignatureAuthenticationHandler : System.Net.Http.DelegatingHandler

{

    protected override async System.Threading.Tasks.Task<System.Net.Http.HttpResponseMessage> SendAsync(

        System.Net.Http.HttpRequestMessage request, System.Threading.CancellationToken cancellationToken)

    {

        //因为 DelegatingHandler 全局异常过滤器无法捕获，所以需要加上 try、catch 自行处理异常

        try

        {

            //1. URL 编码

            string encodeUrl = HttpUtility.UrlEncode(request.RequestUri.AbsoluteUri);

 

            //2. 请求内容 MD5 加密，再 base64 编码

            string reqContent = string.Empty;

            using (var md5 = new System.Security.Cryptography.MD5CryptoServiceProvider())

            {

                byte[] reqBytes = null;

                if (request.Method == HttpMethod.Get)

                    reqBytes = Encoding.UTF8.GetBytes(request.RequestUri.Query);

                else

                    reqBytes = request.Content.ReadAsByteArrayAsync().Result;

                byte[] encryptBytes = md5.ComputeHash(reqBytes);

                reqContent = Convert.ToBase64String(encryptBytes);

            }

 

            //获取 Authorization

            var auth = request.Headers.Authorization;

            if (auth == null)

                return request.CreateResponse(HttpStatusCode.Forbidden, "未指定 Authorization");

            else if (!"hmac".Equals(auth.Scheme, StringComparison.CurrentCultureIgnoreCase))

                return request.CreateResponse(HttpStatusCode.Forbidden, "未指定 hmac");

            else if (string.IsNullOrWhiteSpace(auth.Parameter))

                return request.CreateResponse(HttpStatusCode.Forbidden, "无签名参数");

            string[] paras = auth.Parameter.Split('&');

            if (paras.Length != 4)

                return request.CreateResponse(HttpStatusCode.Forbidden, "签名参数无效");

 

            //检查AppId，真实情况下：应该是根据请求的 AppId 查出对应的合作伙伴记录

            var partners = new[]

            {

                new { AppId = "zhangsan", SecretKey = "abc12345" },

                new { AppId = "lisi", SecretKey = "def45678" }

            };  //模拟真实数据

            var partner = partners.FirstOrDefault(o => o.AppId == paras[0]);

            if (partner == null)

                return request.CreateResponse(HttpStatusCode.Forbidden, "AppId 无效");

 

            //3. 将 AppId、时间戳、Guid、编码的 URL、请求内容串联

            string signStr = string.Format("{0}{1}{2}{3}{4}",

                paras[0], paras[1], paras[2], encodeUrl, reqContent);

 

            //4. 使用 SecretKey 作为密钥，将串联的字符串进行散列算法加密，转为大写的十六进制字符串

            StringBuilder sbHex = new StringBuilder();

            byte[] secretKeyBytes = Convert.FromBase64String(partner.SecretKey);

            using (var hmac = new System.Security.Cryptography.HMACSHA512(secretKeyBytes))

            {

                byte[] bytes = Encoding.UTF8.GetBytes(signStr);

                byte[] encryptBytes = hmac.ComputeHash(bytes);

                foreach (var item in encryptBytes)

                {

                    sbHex.AppendFormat("{0:X2}", item);

                }

            }

 

            //5. 比较签名

            string sign = sbHex.ToString();

            if (paras[3].Equals(sign))

                return base.SendAsync(request, cancellationToken).Result;

            else

                return request.CreateResponse(HttpStatusCode.Unauthorized, "已拒绝为此请求授权");

        }

        catch (Exception ex)

        {

            return request.CreateResponse(HttpStatusCode.InternalServerError, string.Format("签名验证出错：{0}", ex.Message));

        }

    }

}

 

2)   添加签名认证处理程序至信息管道中，在 WebApiConfig.cs 中添加代码

config.MessageHandlers.Add(new WebAPI2.Filter.MessageHandlers.SignatureAuthenticationHandler());

 

3)   然后，再建一个单元测试项目（用于模拟调用接口，分别使用 GET 和 POST）

[TestClass]

public class WebApiTest

{

    /// <summary>

    /// 获取时间戳（毫秒）。

    /// </summary>

    /// <returns></returns>

    public long GetMillisecondsTimestamp(DateTime dateTime)

    {

        TimeSpan cha = (dateTime - TimeZone.CurrentTimeZone.ToLocalTime(new DateTime(1970, 1, 1)));

        return (long)cha.TotalMilliseconds;

    }

 

    [TestMethod]

    public void TestSAGet()

    {

        //1. URL 编码

        Uri uri = new Uri("http://localhost:37907/api/customer/get?id=1");

        string encodeUrl = HttpUtility.UrlEncode(uri.AbsoluteUri);

 

        //2. 请求内容 MD5 加密，再 base64 编码

        string reqContent = string.Empty;

        using (var md5 = new System.Security.Cryptography.MD5CryptoServiceProvider())

        {

            //GET方式：将?id=1 加密

            byte[] reqBytes = Encoding.UTF8.GetBytes(uri.Query);

            byte[] encryptBytes = md5.ComputeHash(reqBytes);

            reqContent = Convert.ToBase64String(encryptBytes);

        }

 

        //3. 将 AppId、时间戳、Guid、编码的 URL、请求内容串联

        string appId = "zhangsan";

        long timestamp = GetMillisecondsTimestamp(DateTime.Now);

        string guid = Guid.NewGuid().ToString();

        string signStr = string.Format("{0}{1}{2}{3}{4}",

            appId, timestamp, guid, encodeUrl, reqContent);

 

        //4. 使用 SecretKey 作为密钥，将串联的字符串进行散列算法加密，转为大写的十六进制字符串

        StringBuilder sbHex = new StringBuilder();

        string secretKey = "abc12346";

        byte[] secretKeyBytes = Convert.FromBase64String(secretKey);

        using (var hmac = new System.Security.Cryptography.HMACSHA512(secretKeyBytes))

        {

            byte[] bytes = Encoding.UTF8.GetBytes(signStr);

            byte[] encryptBytes = hmac.ComputeHash(bytes);

            foreach (var item in encryptBytes)

            {

                sbHex.AppendFormat("{0:X2}", item);

            }

        }

        string sign = sbHex.ToString();

 

        WebRequest request = HttpWebRequest.Create(HttpUtility.UrlDecode(encodeUrl));

        request.Timeout = 200000;   //默认为100000=1分40秒

        request.Method = "GET";

 

        //5. 将 AppId、时间戳、Guid、加密后的字符串以&号连接，并以请求头 Authorization 传递（验证方案为 hmac）

        request.Headers.Add(HttpRequestHeader.Authorization,

            string.Format("hmac {0}&{1}&{2}&{3}", appId, timestamp, guid, sign));

        try

        {

            using (WebResponse response = request.GetResponse())

            {

                using (StreamReader sr = new StreamReader(response.GetResponseStream()))

                {

                    string resCon = sr.ReadToEnd();

                }

            }

        }

        catch (WebException ex)

        {

            HttpWebResponse webResponse = ex.Response as HttpWebResponse;

            using (StreamReader sr = new StreamReader(webResponse.GetResponseStream()))

            {

                int status = (int)webResponse.StatusCode;

                string resCon = sr.ReadToEnd();

                throw ex;

            }

        }

    }

 

    [TestMethod]

    public void TestSAPost()

    {

        var cust = new { CustomerId = 1, CustomerName = "客户A", Address = "上海市杨浦区" };

        string data = JsonConvert.SerializeObject(cust);

        byte[] reqBytes = Encoding.UTF8.GetBytes(data);

 

        //1. URL 编码

        Uri uri = new Uri("http://localhost:37907/api/customer/modify");

        string encodeUrl = HttpUtility.UrlEncode(uri.AbsoluteUri);

 

        //2. 请求内容 MD5 加密，再 base64 编码

        string reqContent = string.Empty;

        using (var md5 = new System.Security.Cryptography.MD5CryptoServiceProvider())

        {

            //POST方式：将请求数据加密

            byte[] encryptBytes = md5.ComputeHash(reqBytes);

            reqContent = Convert.ToBase64String(encryptBytes);

        }

 

        //3. 将 AppId、时间戳、Guid、编码的 URL、请求内容串联

        string appId = "zhangsan";

        long timestamp = GetMillisecondsTimestamp(DateTime.Now);

        string guid = Guid.NewGuid().ToString();

        string signStr = string.Format("{0}{1}{2}{3}{4}",

            appId, timestamp, guid, encodeUrl, reqContent);

 

        //4. 使用 SecretKey 作为密钥，将串联的字符串进行散列算法加密，转为大写的十六进制字符串

        StringBuilder sbHex = new StringBuilder();

        string secretKey = "abc12346";

        byte[] secretKeyBytes = Convert.FromBase64String(secretKey);

        using (var hmac = new System.Security.Cryptography.HMACSHA512(secretKeyBytes))

        {

            byte[] bytes = Encoding.UTF8.GetBytes(signStr);

            byte[] encryptBytes = hmac.ComputeHash(bytes);

            foreach (var item in encryptBytes)

            {

                sbHex.AppendFormat("{0:X2}", item);

            }

        }

        string sign = sbHex.ToString();

 

        WebRequest request = HttpWebRequest.Create(HttpUtility.UrlDecode(encodeUrl));

        request.Timeout = 200000;   //默认为100000=1分40秒

        request.Method = "POST";

        request.ContentType = "application/json";

        request.ContentLength = reqBytes.Length;

 

        //5. 将 AppId、时间戳、Guid、加密后的字符串以&号连接，并以请求头 Authorization 传递（验证方案为 hmac）

        request.Headers.Add(HttpRequestHeader.Authorization,

            string.Format("hmac {0}&{1}&{2}&{3}", appId, timestamp, guid, sign));

        try

        {

            using (Stream stream = request.GetRequestStream())

            {

                stream.Write(reqBytes, 0, reqBytes.Length);

                using (WebResponse response = request.GetResponse())

                {

                    using (StreamReader sr = new StreamReader(response.GetResponseStream()))

                    {

                        string resCon = sr.ReadToEnd();

                    }

                }

            }

        }

        catch (WebException ex)

        {

            HttpWebResponse webResponse = ex.Response as HttpWebResponse;

            using (StreamReader sr = new StreamReader(webResponse.GetResponseStream()))

            {

                int status = (int)webResponse.StatusCode;

                string resCon = sr.ReadToEnd();

                throw ex;

            }

        }

    }

}

 

4.   模拟调用效果

1)   GET 方式调用（失败）

 

2)   GET 方式调用（成功）

 

3)   POST 方式调用（失败）

 

4)   POST 方式调用（成功）

 

Ø  总结

1.   本文主要阐述了如何使用 Web API 实现签名认证，以及实现步骤和效果演示。

2.   不难发现，其实签名认证也是存在一定缺点的，比如：

1)   每次请求都需要将做同一件事（将请求签名），而服务端接收到请求后也是每次都要验证，提高了复杂程度和性能损耗。

2)   服务端收到请求时还需要根据 AppId 查找对应的 SecretKey，无论是在数据库中查找还是从缓存中获取，这无疑也是对性能的开销。因为当访问量大时，这种频繁的操作也是不能忽视的。

3.   当然，有缺点也有优点的，这样做最大的好处就是提高了接口的安全性。

4.   OK，关于签名认证就先到这里吧，如有不对之处，欢迎讨论。