为什么需要认证

经由HTTP协议进行通信的数据大都是未经过加密的明文，包括请求参数，返回值，cookie，head等数据，因此，外界通过对通信的监听，便可轻而易举地根据请求和响应双方的格式，伪造请求和响应，修改和窃取各种信息。相对于基于TCP协议层面的通信方式，针对HTTP协议的攻击门槛更低，因此，基于HTTP协议的WEB与SOA架构，在应用的安全性方面需要更加重视。

摘要认证的原理

对于普通的非敏感数据，我们更多关注其真实性和准确性，因此，如何在通信过程中保障数据不被篡改，首当其冲成为需要考虑的问题。

鉴于使用HTTPS性能上的成本以及需要额外申请CA证书，在这种情况下，一般采用对参数和响应进行摘要的方法，即能够满足需求。

针对每次请求和响应，按照一定的规则生成数字摘要，数字摘要需要涵盖客户端与服务端通信的内容，以及双方约定好的“盐”，以此来保障请求与响应不被第三方篡改。常见的摘要算法包括MD5，SHA等。

由于传递端和接收端都认为HTTP协议的请求参数是无序的，因此客户端与服务端双方需要约定好参数的排序方式。请求的参数经过排序后，再将参数名称和值经过一定的策略组织起来，加上一个密钥 secret，也就是所谓的“盐”，然后通过约定的摘要算法生成数字摘要，传递给服务端。

在服务端接收到客户端传递的参数后，服务端会采用与客户端相同的策略对参数进行排序并且加上相同的secret，采用相同的摘要方式生产摘要串。由于相同内容经过相同的摘要算法，生成的摘要内容必定是相同的。将服务端生成的摘要串与客户端生成的摘要串进行比较，这样就得知参数内容是否被篡改。

摘要认证实现

摘要认证的这种方式可以在一定程度上保障通信的安全，防止通信过程中数据被第三方篡改，实现起来主要包含如下几个方面：客户端参数摘要生成，服务端参数摘要效验，服务端响应摘要生成和客户端响应摘要效验。

客户端参数摘要生成

请求的参数需要首先排好序，服务端和客户端需要事先约定好排序的方式，否则生成的摘要可能就相差十万八千里了。排好序后，将参数名称与参数值串起来，加上约定好的secret，生成待摘要的字符串，最后使用MD5之类的摘要算法生成摘要串。当然，摘要算法也需要事先约定好。

服务端参数摘要校验

服务端接收到请求的参数后，按照也客户端相同的方式将参数排序，然后将参数的名称与参数的值串起来，生成待摘要的字符串，并且使用与客户端相同的摘要算法生成摘要串，最后将服务端生成的摘要串与客户端传递过来的摘要串进行比较，如果一致，表示参数没有遭到篡改，反之则说明参数遭到篡改。

服务端响应摘要生成

客户端响应摘要校验

项目实战

public class DigestTest {
    /**
     * 盐
     */
    private static final String SECRET = "abcdefg123456";

    public static void main(String[] args) throws Exception {
        Map<String, String> params = Maps.newHashMap();
        params.put("name","xiyangyang");
        params.put("age","18");
        params.put("sex","男");
        String clientDigest = getDigest(params);
        System.out.println("client digest = " + clientDigest);

        String serverDigest = getDigest(params);
        System.out.println("server digest = " + serverDigest);

        System.out.println("clientDigest.equals(serverDigest) =" + clientDigest.equals(serverDigest) );
    }

    private static String getDigest(Map<String, String> params) throws Exception {
        TreeMap<String, String> treeMap = new TreeMap<>();
        // 参数排序
        treeMap.putAll(params);
        String keyValueStr = "";

        // 拼接参数
        for (Map.Entry<String, String> entry : treeMap.entrySet()) {
            keyValueStr += entry.getKey() + entry.getKey();
        }

        // 加“盐”
        keyValueStr += SECRET;

        // md5(paramStr + secret)
        return SecureUtil.md5(keyValueStr);
    }
}