class-validator Nestjs yarn add class-transformer class-validator main.ts import { NestFactory } from '@nestjs/core'; import { AppModule } from './app.module'; import { ValidationPipe } from '@nestjs/common' async function bootstrap() { const app = a…

接口验证KEY生成规则说明 官方文档: 传送门 "X-APICloud-AppKey"生成规则是基于SHA1()算法生成的 AppKey= SHA1(你的应用ID + 'UZ' + 你的应用KEY +'UZ' +当前时间毫秒数).当前时间毫秒数 /** * Created by andy on 14-12-25. */ /** * * Secure Hash Algorithm (SHA1) * http://www.webtoolkit.info/ * **/ function SH…

一.前言 权限验证在开发中是经常遇到的,通常也是封装好的模块,如果我们是使用者,通常指需要一个标记特性或者配置一下就可以完成,但实际里面还是有许多东西值得我们去探究.有时候我们也会用一些开源的权限验证框架,不过能自己实现一遍就更好,自己开发的东西成就感(逼格)会更高一些.进入主题,本篇主要是介绍接口端的权限验证,这个部分每个项目都会用到,所以最好就是也把它插件化,放在Common中,新的项目就可以直接使用了.基于web的验证之前也写过这篇,有兴趣的看一下ASP.NET MVC Form验证. 二…

就安全来说,所有客户端和服务器端的通信内容应该都要通过加密通道(HTTPS)传输,明文的HTTP通道将会是man-in-the- middle及其各种变种攻击的温床.所谓man-in-the-middle攻击简单讲就是指恶意的黑客可以在客户端和服务器端的明文通信通道上做手 脚,黑客可以监听通信内容,偷取机密信息,甚至可以篡改通信内容,而通过加密后的通信内容理论上是无法被破译的. URL签名生成规则 API的有效访问URL包括以下三个部分: 1. 资源访问路径,如/v1/deal/find_dea…

一.前言 权限验证在开发中是经常遇到的,通常也是封装好的模块,如果我们是使用者,通常指需要一个标记特性或者配置一下就可以完成,但实际里面还是有许多东西值得我们去探究.有时候我们也会用一些开源的权限验证框架,不过能自己实现一遍就更好,自己开发的东西成就感(逼格)会更高一些.进入主题,本篇主要是介绍接口端的权限验证,这个部分每个项目都会用到,所以最好就是也把它插件化,放在Common中,新的项目就可以直接使用了.基于web的验证之前也写过这篇,有兴趣的看一下ASP.NET MVC Form验证. 二…

项目中有一个留言消息接口,接收其他系统的留言和展示留言,参考了网上的一些API验证方法,发现使用通用权限管理系统提供的验证方法最完美(http://www.cnblogs.com/jirigala/p/5506022.html). 下面将实现的完整思路共享 1.WebApiConfig全局处理 /// <summary> /// WebApiConfig /// 路由基础配置. /// /// /// 修改记录 /// /// 2016.11.01 版本:2.0 宋彪 对日期格式进行统一处理.…

最近在做微信的企业服务号,刚开始通过个人的测试平台进行开发,使用了自定义菜单,自定义菜单包含两个功能:1.扫一扫,通过扫描我们账单的二维码,绑定账户和账单的关系:2.打开我们系统的账单查询页面,查询账户的账单信息. 我的使用环境是:JSP+SpringMVC. 开发之前需要首先配置服务好的JS接口安全域名:“公众号设置”-“功能设置”-“JS接口安全域名”. 在测试号下测试运行没问题,实现方式是:扫一扫使用“scancode_waitmsg”类型,通过微信测试平台提供的“接口配置信息”配置的ur…

<?php //获得接口认证 $timestamp = $_GET['timestamp']; $nonce = $_GET['nonce']; $token = 'weixin'; $signature = $_GET['signature']; //将参数字典化排序 $tmpArr = array($timestamp,$nonce,$token); sort($tmpArr); $judgeArr = implode('',$tmpArr); $judge = sha1($judgeArr…

文档 yarn add @nestjs/passport passport passport-http-bearer @nestjs/jwt passport-jwt auth.service.ts import { JwtService } from '@nestjs/jwt'; import { Injectable } from '@nestjs/common'; // import { UsersService } from '../users/users.service'; @Inje…

问题背景: 后端服务对手机APP端开放API,没有基本的校验就是裸奔,别人抓取接口后容易恶意请求,不要求严格的做的安全,但是简单的基础安全屏障是要建立的,再配合HTTPS使用,这样使后端服务尽可能的安全. 对接口安全问题,采用JWT对接口进行token验证,判断请求的有效性,目前对JWT解释的博客文章很多,对JWT不了解的可以查找相关资料,JWT官网. JWT是JSON Web Token的简写,一些是JWT官网的解释: 什么是JWT? JSON Web Token (JWT) is an op…