商品详情 API 的签名验证与安全接入技术要点

import hashlib
import time
import uuid
import requests

# 配置项（调用方与服务方约定）
API_SECRET = "your_api_secret_123456"  # 双方保密的密钥，切勿泄露
API_URL = "http://localhost:8000/api/product/detail"  # 商品详情API地址
TIMEOUT_SECONDS = 300  # 请求有效期5分钟

def generate_sign(params, secret):
    """
    生成签名：核心逻辑
    :param params: 参与签名的参数字典（不含sign本身）
    :param secret: 签名密钥
    :return: 小写的MD5签名串
    """
    # 1. 按参数名ASCII码升序排序
    sorted_items = sorted(params.items(), key=lambda x: x[0])
    # 2. 拼接成 "key1=value1&key2=value2" 格式
    sign_str = "&".join([f"{k}={v}" for k, v in sorted_items])
    # 3. 尾部拼接密钥
    sign_str += secret
    # 4. MD5哈希并转小写
    sign = hashlib.md5(sign_str.encode("utf-8")).hexdigest().lower()
    return sign

def request_product_detail(product_id):
    """
    调用商品详情API（带签名）
    :param product_id: 商品ID
    :return: API响应结果
    """
    # 1. 构造基础参数（必含防重放字段）
    params = {
        "product_id": product_id,          # 业务参数：商品ID
        "timestamp": int(time.time()),     # 时间戳（秒级）
        "nonce": str(uuid.uuid4())         # 随机数（确保每次请求唯一）
    }
    # 2. 生成签名
    sign = generate_sign(params, API_SECRET)
    # 3. 签名加入请求参数
    params["sign"] = sign
    
    try:
        # 4. 发送GET请求（POST同理，参数放body即可）
        response = requests.get(API_URL, params=params, timeout=10)
        return response.json()
    except Exception as e:
        return {"code": -1, "msg": f"请求失败：{str(e)}"}

# 测试调用
if __name__ == "__main__":
    result = request_product_detail(product_id="10086")
    print("API响应结果：", result)

import hashlib
import time
from flask import Flask, request, jsonify

app = Flask(__name__)

# 配置项
API_SECRET = "your_api_secret_123456"  # 与调用方一致的密钥
TIMEOUT_SECONDS = 300  # 与调用方一致的请求有效期
NONCE_CACHE = {}  # 缓存已使用的Nonce，生产环境建议用Redis

def verify_sign(params, secret):
    """
    验证签名：与调用方生成逻辑完全一致
    :param params: 请求参数字典（含sign）
    :param secret: 签名密钥
    :return: 验证结果（bool）
    """
    # 1. 复制参数并移除sign字段（避免参与签名计算）
    sign_params = params.copy()
    sign = sign_params.pop("sign", "")
    if not sign:
        return False
    
    # 2. 按相同规则生成签名
    sorted_items = sorted(sign_params.items(), key=lambda x: x[0])
    sign_str = "&".join([f"{k}={v}" for k, v in sorted_items])
    sign_str += secret
    calculated_sign = hashlib.md5(sign_str.encode("utf-8")).hexdigest().lower()
    
    # 3. 比对签名（注意大小写统一）
    return calculated_sign == sign

def check_replay_attack(timestamp, nonce):
    """
    防重放攻击校验
    :param timestamp: 请求时间戳
    :param nonce: 随机数
    :return: 校验结果（bool）+ 错误信息
    """
    # 1. 校验时间戳是否在有效期内
    current_time = int(time.time())
    if abs(current_time - timestamp) > TIMEOUT_SECONDS:
        return False, "请求已过期（时间戳超出有效期）"
    
    # 2. 校验Nonce是否已使用（防止重复请求）
    if nonce in NONCE_CACHE:
        return False, "Nonce已被使用（请求重复）"
    
    # 3. 缓存Nonce，有效期与请求一致
    NONCE_CACHE[nonce] = current_time
    # 生产环境建议设置缓存过期时间，避免内存溢出
    # 如Redis: redis.set(nonce, 1, ex=TIMEOUT_SECONDS)
    
    return True, ""

@app.route("/api/product/detail", methods=["GET"])
def product_detail():
    """商品详情API接口（带签名验证）"""
    # 1. 获取请求参数
    params = request.args.to_dict()
    product_id = params.get("product_id")
    timestamp = params.get("timestamp")
    nonce = params.get("nonce")
    
    # 2. 基础参数校验
    if not all([product_id, timestamp, nonce]):
        return jsonify({"code": 1001, "msg": "缺少必要参数"})
    
    # 3. 转换数据类型（避免字符串比较）
    try:
        timestamp = int(timestamp)
    except ValueError:
        return jsonify({"code": 1002, "msg": "时间戳格式错误"})
    
    # 4. 防重放攻击校验
    replay_valid, replay_msg = check_replay_attack(timestamp, nonce)
    if not replay_valid:
        return jsonify({"code": 1003, "msg": replay_msg})
    
    # 5. 签名验证
    if not verify_sign(params, API_SECRET):
        return jsonify({"code": 1004, "msg": "签名验证失败"})
    
    # 6. 业务逻辑：模拟返回商品详情
    product_data = {
        "product_id": product_id,
        "name": "华为Mate 70 Pro",
        "price": 6999.00,
        "stock": 1000,
        "desc": "旗舰级智能手机，支持5G"
    }
    return jsonify({"code": 0, "msg": "success", "data": product_data})

if __name__ == "__main__":
    app.run(host="0.0.0.0", port=8000, debug=True)