java servlet手机app访问接口(一)数据加密传输验证
前面几篇关于servlet的随笔，算是梳理了servlet的简单使用流程，接下去的文章将主要围绕手机APP访问接口这块出发续写，md5加密传输--->短信验证--->手机推送--->分享--->百度云图---->支付....第三方的业务...由于我是新手我也是一边学一边写，不足地方希望谅解。
今天这篇文章主要涉及到javaservlet传输数据的加密，客户端请求参数的组合,并且会附带上我中途遇到的所有问题以及解决方法。
由于手机访问接口是公布出来的，所以不管用什么语言编写接口，我们就应该做相应的安全措施，否则人家知道你的URL之后，截获客户端的请求，然后修改提交参数，这样损失就大了。用servlet写接口用得最多的也应该是对传输数据进行一个加密，如果是webservice.net的wcf这些这样的技术来编写，还会涉及到证书的匹配....
一、请求数据参数的加密与实现思路。
加密这里我使用的md532位的加密，32位是一个不可逆的加密，这样即使被黑客截获了，也是没办法将我们加密后的MD5值，解密成我们加密时组合的字符串的。 当然这个不是绝对的，好像前几年已经有计算机方面的专家破译了MD5的加密方式，但我觉得那技术首先可能不会随意公布出来，然后即使公布了也不是一般人能明白的，否则 你随便问一个程序员MD5加密你还在用吗，那肯定回答是没有了。
1、首先我说下我请求参数的组合思路，因为这里涉及到了MD5加密，所以我们必须在用户使用APP登录帐号之后，反馈给用户两个token,第一个token是表示用户身份的唯一值，这个token是需要增加到请求接口参数中的(这个参数是否参与加密，是你自己定不影响，我这里是参与了的),因为servlet需要通过它来查询用户的加密所需token，第二个token是用来加密md5的值，这个token是不能增加到请求接口参数中去的,而且这两个token我们都必须保存到数据库中,因为用户请求接口之后，serlvet需要获取参数中的用户token然后去数据库中查询md5加密所需token,然后servlet再将查询来的加密token增加到用户传递来的字符串中去，再次进行一个md5加密，加密后对比用户传递的md5加密后的值，是否与servlet加密后的值一样，如果不一样，那么原因就可能有两个，servlet这边加密字符串组合错误，用户传输数据中途被截修改过。这两个token我都是使用的javauuid生成的，应为uuid生成的是一个唯一值。生成方式很简单。下面是代码
publicstaticStringgetUUID()
{
returnUUID.randomUUID().toString();
}
下面是javamd532位加密方法
publicstaticStringmd5Encrypt(StringgroupParamertStr)throwsUnsupportedEncodingException{
MessageDigestmessageDigest=null;
try{
messageDigest=MessageDigest.getInstance("MD5");
messageDigest.reset();
messageDigest.update(groupParamertStr.getBytes("UTF-8"));
}catch(NoSuchAlgorithmExceptione){
System.out.println("NoSuchAlgorithmExceptioncaught!");
System.exit(-1);
}catch(UnsupportedEncodingExceptione){
e.printStackTrace();
}
byte[]byteArray=messageDigest.digest();
StringBuffermd5StrBuff=newStringBuffer();
for(inti=0;i<byteArray.length;i++){
if(Integer.toHexString(0xFF&byteArray[i]).length()==1)
md5StrBuff.append("0").append(Integer.toHexString(0xFF&byteArray[i]));
else
md5StrBuff.append(Integer.toHexString(0xFF&byteArray[i]));
}
returnmd5StrBuff.toString();
}
下面是servlet这边获取参数进行加密后，使用加密结果与用户请求传递的加密结果进行一个对比。如果一样说明请求没问题，否则请求参数值有可能被修改过
//下面这个方法三个参数第一个是用户token第二个是加密所需要的参数,等会我们通过用户token查询出加密token之后，我们需要将它拼接到servlet加密所需json字符串中去，第三个就是从客户端传来的加密结果字符串这里方法返回0表示用户加密后的结果没有问题，否则就有错
publicstaticintpostTokenVerify(Stringtoken,JSONObjectrequestJsonObject,
StringencryptStrValue){
intreturnValue=0;
String[]mysqlParameter=newString[]{token};
//下面就是通过用户token查询用户的加密token
ResultSetreturnData=MySqlHepler.executeQuery("select*frominfosheetwhereidToken=?",mysqlParameter);
JSONObjectreturnObject=null;
try{
returnObject=ResultToJsonTool.resultSetToJsonObject(returnData);
}catch(SQLExceptione1){
//TODOAuto-generatedcatchblock
e1.printStackTrace();
}catch(JSONExceptione1){
//TODOAuto-generatedcatchblock
e1.printStackTrace();
}
StringbyEncryptStrValue="";
try{
if(returnObject.getString("encryptToken").length()>2){//说明用户的idToken存在,
//returnreturnValueString;
//{"idToken":"123456","id":"34","pwd":"23","encryptToken":"2345678","account":"hang"}
/*下面的代码是在匹配JAVAMD5加密字符串,
因为用户加密时，增加了加密token到加密字符串中去，但是请求时又不能传递这个加密token，所以我们servlet加密时需要通过用户token去查询用户的加密toke,查询出来了，我们就需要拼接到，请求参数json后面，这样servlet加密的字符串就与用户加密的字符串一致了。下面就是查询出加密token后拼接到请求参数后面的方法，
*/
byEncryptStrValue=requestJsonObject.toString().substring(0,requestJsonObject.toString().length()-1);
JSONObjectencryptTokenJsonObject=newJSONObject();
encryptTokenJsonObject.put("encryptToken",returnObject.getString("encryptToken"));
Stringvalue1=encryptTokenJsonObject.toString().substring(1,encryptTokenJsonObject.toString().length());
byEncryptStrValue=byEncryptStrValue+","+value1;
//
}
else{
returnValue=1;//idtoken错误
}
}catch(JSONExceptione1){
//TODOAuto-generatedcatchblock
e1.printStackTrace();
}
try{
//下面方法就是使用拼接正确的字符串在servlet上进行加密的方法调用，返回一个结果后，对比用户传递的加密结果
StringjavaMd5Result=EncryptSafa.md5Encrypt(byEncryptStrValue);
if(javaMd5Result.equals(encryptStrValue)){//加密串是正确的
}
else
{
returnValue=2;//加密结果有错
}
}catch(UnsupportedEncodingExceptione){
//TODOAuto-generatedcatchblock
e.printStackTrace();
}
returnreturnValue;
}
前面都是封装好的被servlet调用的方法，下面是servlet页调用的所有代码
1、请求的URL
这里我是传递的是一个字典转换json格式的参数，是一个键值对形式，请求参数只用了一个。参数中的idToken就是用户token,值我是在数据库中随便增加的一个123456
没使用uuid,当然正式做肯定不会这样。
http://localhost:8080/JAVAServletTest/2.jsp?parameter={"parameter":"{\"idToken\":\"123456\",\"pwd\":\"汉字\",\"account\":\"hang\"}","md5Str":"672f4a8c6fb92103c01d4275e46df790"}
下面是servlet页面处理的代码,整个流程就是为了验证用户请求在传递的途中是否被修改过。
//昨天在这里遇到个问题，就是当我请求参数中带中文时，servlet获取之后是乱码的，之后用了下面这种方式好了.
StringrequestJsonStr=newString(request.getParameter("parameter").getBytes("ISO8859-1"),"UTF-8");
//提交参数
JSONObjectobjectParameter=null;
//idToken
JSONObjectrequestParmeter=null;
//idToken
StringidToken="";
//客户端加密字符串
Stringmd5Str="";
try{
//获取总的JSON字符串，这里其实是我们从URL只传递的那个paramter一个参数
objectParameter=newJSONObject(requestJsonStr);
//提交参数,json的一个key值，请求参数内部的paramter,其实这个参数里面放的是业务中所需参数，比如你登录帐号密码这类型的
requestParmeter=newJSONObject(objectParameter.getString("parameter"));
//idToken这个是用户token,他就是用户的唯一标识，我们是需要通过他来查询数据库中对应的加密token的
idToken=requestParmeter.getString("idToken");
//客户端加密字符串
md5Str=objectParameter.getString("md5Str");
}catch(JSONExceptione1){
//TODOAuto-generatedcatchblock
e1.printStackTrace();
}
//MD5加密后生成的字符串
//下一步是验证token是否正确
inttokenVerifyResult=EncryptSafa.postTokenVerify(idToken,requestParmeter,md5Str);
if(tokenVerifyResult==0){
out.println("token加密方式正确");
}
else{
out.println("加密token或加密方式错误");
return;
}
以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持毛票票。