防止别人调用接口

jy02409187 2014-11-25 11:56:10

做了一个网页小游戏，就是分数越高排名越前，前5名可以获得奖品，保存数据的接口是用JAVA写的，现在有个很严重的问题，就是别人可以写个JAVA程序，然后调我保存数据的接口来直接刷排行榜，请问有什么方法可以禁止这种行为啊。

...全文

1123 9 打赏收藏转发到动态举报

写回复

9 条回复

切换为时间正序

请发表友善的回复…

发表回复

聪头 2014-11-25

打赏
举报

回复

做IP限制

Defonds 2014-11-25

打赏
举报

回复

加个访问令牌验证

jy02409187 2014-11-25

打赏
举报

回复

引用 7 楼 qq_20078387 的回复:

最简单的方法是用当前会话作为方问题接口令牌，也就是在页网从服务器加载时由服务器生成临时会话到客户端，客户端保存会话信息到当前cookies 当发送信息时服务端验证会话是否存在和正确，网页游戏退出时回收会话。会话信息可以根据时间片来定时更新同步！

把页面转成JSP或PHP可以实现

jy02409187 2014-11-25

打赏
举报

回复

引用 7 楼 qq_20078387 的回复:

最简单的方法是用当前会话作为方问题接口令牌，也就是在页网从服务器加载时由服务器生成临时会话到客户端，客户端保存会话信息到当前cookies 当发送信息时服务端验证会话是否存在和正确，网页游戏退出时回收会话。会话信息可以根据时间片来定时更新同步！

网页只能通过接口和服务端通信，“由服务器生成临时会话到客户端”，我也只能通过接口来获取这个临时会话然后再保存到COOKIES，然后问题就来了，既然他们连保存数据的接口都可以调用到，那么这个临时会话的接口也同样可以调用到

qq_20078387 2014-11-25

打赏
举报

回复

最简单的方法是用当前会话作为方问题接口令牌，也就是在页网从服务器加载时由服务器生成临时会话到客户端，客户端保存会话信息到当前cookies 当发送信息时服务端验证会话是否存在和正确，网页游戏退出时回收会话。会话信息可以根据时间片来定时更新同步！

jy02409187 2014-11-25

打赏
举报

回复

这个是微信游戏，获取用户的微信ID来保存数据的，用加密我也想过，但加密只能在前端用JS做加密，这样的话，一家把你的JS下载下来就知道加密方式了，做IP限制也没什么用，那些高手可以一个小时看一下排行榜，然后刷一个比排行榜最高分再高几分的分数上去就可以了，也不用一直在刷，我是想有没有办法是在服务端限制他，比如说只能是在这个网页下访问的接口才有用，直接调接口的就无效了

thm362889769 2014-11-25

打赏
举报

回复

做个加密验证

咖啡加糖_ 2014-11-25

打赏
举报

回复

一个做个加密，具体加密方式很多，安全性高的费对称加密，再者，如果可以做ip地址限制的，判断请求的ip~~~

qingyuan18 2014-11-25

打赏
举报

回复

保存数据的接口是用JAVA写的---哪种类型的接口？如果是RESTful，加http basic认证，也就是调用的时候需要提供用户名和密码，你后台从http header里面取加密后的token并校验，通过了以后才做保存操作

如何防止API接口被恶意调用1. 客户端防护2. 传输层防护3. 服务端防护4. 安全鉴权案例4.1 微盟开放平台4.2 微信开放平台 1. 客户端防护 1.客户端双向认证。在app中预置证书（跨平台也是一致的方案），要求更高的话使用专用的证书设备，线下签发，例如银行的U盾。 2.客户端双反hook，反调试，防逆向。 3.客户端运行环境校验，通过读取硬件信息识别pc还是移动设备以及设备MAC相关信息。 2. 传输层防护 1.传输协议防护，首先接口建议使用 HTTPS 协议，这样至少会给破解者在抓包的时候提高

最近开发了一个小程序前端开发前端和后台花了1个多月时间开发，结果被人轻松的把微信小程序前端代码破解出来。而且完整一个字不差截图给我看了。小程序是前后端都分离的，如果后端不作验证，别人把你的小程序前端扒了接口也暴露了，随便可以复制你的前端去换成自己appid上线后调你的接口。这显然是不安全的。在想为什么微信官方不限制指定appid才能调用指定域名接口。这样接口才是安全的。最后找了一圈，微信开发者工具里只能对前端代码进行混淆加固，只能做到这步，让人破解出来后看不懂逻辑，但还是一样能破解出来。

sign的作用是防止参数被篡改，客户端调用服务端时需要传递sign参数，服务器响应客户端时也可以返回一个sign用于客户度校验返回的值是否被非法篡改了。每个请求接口都带一个timestamp参数，请求接口的有效时间，一般3分钟，如果超过3分钟，我们就认为是非法请求。4 sign 放入redis，失效时间为3分钟，判断数据库里是否有sign，如果存在就是非法请求。如果用户修改了参数，服务器算出来的sign就和传过来的sign不一致，就认为是非法请求。1 access-token 访问token。

在面试时，经常会被问一个问题：如何防止别人恶意刷接口？这是一个非常有意思的问题，防范措施挺多的。今天这篇文章专门跟大家一起聊聊，希望对你会有所帮助。

大公司的网络安全比下面复杂的多 1、验证码（最简单有效的防护），采用点触验证，滑动验证或第三方验证码服务，普通验证码很容易被破解 2、频率，限制同设备，同IP等发送次数，单点时间范围可请求时长 3、归属地，检测IP所在地是否与手机号归属地匹配；IP所在地是否是为常在地 4、可疑用户，对于可疑用户要求其主动发短信（或其他主动行为）来验证身份 5、黑名单，对于黑名单用户，限制其操作，API...

81,122

社区成员

341,744

社区内容

发帖

与我相关

我的任务

社区管理员

加入社区

近7日
近30日
至今

加载中

查看更多榜单

社区公告

暂无公告

试试用AI创作助手写篇文章吧

+ 用AI写文章