詳解淘寶H5 sign加密算法

淘寶對(duì)于h5的訪問采用了和客戶端不同的方式,由于在h5的js代碼中保存appsercret具有較高的風(fēng)險(xiǎn),mtop采用了隨機(jī)分配令牌的方式,為每個(gè)訪問端分配一個(gè)token,保存在用戶的cookie中,通過cookie帶回服務(wù)端分配的token, 客戶端利用分配的token對(duì)請(qǐng)求的URL參數(shù)生成摘要值sign,MTOP利用這個(gè)摘用值和cookie中的token來防止URL篡改。
流程
當(dāng)本地cookie中的token為空時(shí)(通常是第一次訪問),mtop會(huì)收到”FAIL_SYS_TOKEN_EXOIRED:: 令牌過期“這個(gè)錯(cuò)誤應(yīng)答,同時(shí)mtop會(huì)生成token寫入cookie中(response.cookies);
第二次請(qǐng)求時(shí),js通過讀取cookie中的token值,按照約定的算法生成sign, sign在mtop的請(qǐng)求中帶上,mtop通過cookie中和token用同樣的方式計(jì)算出sign,與請(qǐng)求的sign進(jìn)行比較,檢查通過將返回api的應(yīng)答,失敗提示“FAIL_SYS_ILLEGAL_ACCESS:: 非法請(qǐng)求”;
cookie中的token是有時(shí)效性的,遇到token失效時(shí),將收到應(yīng)答"FAIL_SYS_TOKEN_EXOIRED:: 令牌過期", 同時(shí)會(huì)寫入新的token,js利用新的token重新計(jì)算sign并重發(fā)請(qǐng)求;
關(guān)于cookie中的token的自我檢查,由于token在cookie中是明文的,可能會(huì)被仿冒,在輸出的cookie中包含一個(gè)用非對(duì)稱密鑰的公鑰加密后的token, MTOP在每次請(qǐng)求時(shí)會(huì)先檢查cookie中的token是否是由服務(wù)端分配出去的(利用加密后的token和私鑰還原token,與回傳的明文token比較)
sign 生成
關(guān)于sign的生成公式:
md5Hex(token&t&appKey&data)
如:md5Hex("30dc68e5b4cf40ebd02fb05673c7e3b7&1572522062317&12345678&{"itemNumId":"1502111132496"}")
sign=4c1e7b6853fa7a5e1b8f7066ee22932f
實(shí)現(xiàn)代碼:
public static String calcSignature(String token, String timestamp, String appKey, String data) { return DigestUtils.md5Hex(StringUtils.trimToEmpty(token) + "&" + timestamp + "&" + appKey + "&" + data); } public static void main(String[] args) { String token="30dc68e5b4cf40ebd02fb05673c7e3b7"; String timestamp="1572522062317"; String sign = calcSignature(token, timestamp, "12345678", "{\"itemNumId\":\"1502111132496\"}"); System.out.println(sign); }
token
m_h5tk: 格式為 明文token_expireTime, 從response.cookies處獲取,如: 30dc68e5b4cf40ebd02fb05673c7e3b7_1572522062317
token就是 30dc68e5b4cf40ebd02fb05673c7e3b7
失效時(shí)間是 1572522062317
可封裝在一個(gè)類中負(fù)責(zé)存儲(chǔ)token
@Data @NoArgsConstructor @AllArgsConstructor @Builder public class Credentials implements Comparable<Credentials> { private String _m_h5_tk; private String _m_h5_tk_enc; private static final int OFFSET = 60000; public String getToken() { return StringUtils.isEmpty(_m_h5_tk) ? null : _m_h5_tk.substring(0, _m_h5_tk.indexOf("_")); } public long getExpireTimestamp() { long t = new Date().getTime() - OFFSET; if (StringUtils.isEmpty(_m_h5_tk) || StringUtils.isEmpty(_m_h5_tk_enc)) { return t; } try { return Long.parseLong(_m_h5_tk.substring(_m_h5_tk.indexOf("_") + 1)); } catch (NumberFormatException e) { return t; } } public boolean isExpired() { if (StringUtils.isEmpty(_m_h5_tk) || StringUtils.isEmpty(_m_h5_tk_enc)) { return true; } return new Date().getTime() > getExpireTimestamp(); } @Override public int compareTo(Credentials o) { return Long.compare(o.getExpireTimestamp(), this.getExpireTimestamp()); } }
t
很簡(jiǎn)單,即時(shí)間戳 通過 new Date().getTime() 獲得
appKey
固定數(shù)值 通過抓包工具在請(qǐng)求參數(shù)中可獲得,參數(shù)名 appKey
data
提交的參數(shù) 通過抓包工具在請(qǐng)求參數(shù)中可獲得 通常是一個(gè)JSON字符串
到此這篇關(guān)于詳解淘寶H5 sign加密算法的文章就介紹到這了,更多相關(guān)淘寶H5 sign加密內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章,希望大家以后多多支持腳本之家!
相關(guān)文章
- Microdata作為HTML5新增的一個(gè)特性,它允許開發(fā)者在HTML文檔中添加更多的語義信息,以便于搜索引擎和瀏覽器更好地理解頁面內(nèi)容,本文將探討HTML5中Microdata的使用方法以及2025-04-21
- 在HTML語法中,表格主要通過< table >、< tr >和< td >3個(gè)標(biāo)簽構(gòu)成,本文通過實(shí)例代碼講解HTML5表格語法格式,感興趣的朋友一起看看吧2025-04-21
- 這篇文章主要介紹了HTML5中使用媒體查詢和Flexbox進(jìn)行響應(yīng)式布局的方法,簡(jiǎn)要介紹了CSS Grid布局的基礎(chǔ)知識(shí)和如何實(shí)現(xiàn)自動(dòng)換行的網(wǎng)格布局,感興趣的朋友一起看看吧2025-04-21
基于Canvas的Html5多時(shí)區(qū)動(dòng)態(tài)時(shí)鐘實(shí)戰(zhàn)代碼
本文介紹了如何使用Canvas在HTML5上實(shí)現(xiàn)一個(gè)多時(shí)區(qū)動(dòng)態(tài)時(shí)鐘的web展示,通過Canvas的API,可以繪制出6個(gè)不同城市的時(shí)鐘,并且這些時(shí)鐘可以動(dòng)態(tài)轉(zhuǎn)動(dòng),每個(gè)時(shí)鐘上都會(huì)標(biāo)注出對(duì)應(yīng)的2025-03-11HTML5 data-*自定義數(shù)據(jù)屬性的示例代碼
HTML5的自定義數(shù)據(jù)屬性(data-*)提供了一種標(biāo)準(zhǔn)化的方法在HTML元素上存儲(chǔ)額外信息,可以通過JavaScript訪問、修改和在CSS中使用,文章還介紹了高級(jí)用法,如存儲(chǔ)JSON數(shù)據(jù)、事2025-03-11HTML5中下拉框<select>標(biāo)簽的屬性和樣式詳解
在HTML5中,下拉框(<select>標(biāo)簽)作為表單的重要組成部分,為用戶提供了一個(gè)從預(yù)定義選項(xiàng)中選擇值的方式,本文將深入探討<select>標(biāo)簽的屬性、樣式,并重點(diǎn)介2025-02-27- 本文介紹了HTML5InputDatePicker對(duì)象表示HTML``元素,是HTML5中的新對(duì)象,介紹了日期、周、月份、時(shí)間、日期+時(shí)間、本地日期時(shí)間等不同類型的日期選擇器,感興趣的朋友一起看2025-02-17
- 本文介紹了HTML5中的超鏈接、相對(duì)路徑和圖片的使用方法,超鏈接可以創(chuàng)建指向另一個(gè)文檔或頁面內(nèi)部書簽的鏈接,相對(duì)路徑用于在同一服務(wù)器內(nèi)部跳轉(zhuǎn)頁面,圖片標(biāo)簽用于引入外部圖2025-02-17
- 本文介紹了HTML5超鏈接的創(chuàng)建方法,包括基本語法、創(chuàng)建圖像超鏈接的邊框去除方法以及錨點(diǎn)鏈接的使用,還討論了超鏈接的四種不同狀態(tài)(link、visited、hover、active)的CSS樣2025-02-17
HTML5使用details標(biāo)簽:展開/收縮信息
最近看一些技術(shù)網(wǎng)站發(fā)現(xiàn)了details 標(biāo)簽的妙用,這個(gè)不用js即可實(shí)現(xiàn)展開/收縮信息,很方便用來讓用戶先才答案,然后下面點(diǎn)擊再給出答案的效果,這里就為大家簡(jiǎn)單介紹一下,2024-11-03