『你的API接口安全么』之给NetCore请求参数加解密！
（忽如一夜春风来 _ _ _ _ _ _ _）
大家好，天气骤降，你那里下雪了么。
最近一直在接触安全相关的东西，无论是看书，看新闻，还是写项目——网络安全，接口安全，数据安全，资源安全等等已经被纷纷讨论和津津乐道了，平时在上班的路上经常会思考一些架构设计相关的内容，或者看些书，那正好也考虑了一个接口安全的内容给大家分享一下，一共两篇，这是接口请求篇，另一个是接口返回响应内容篇：
首先，我们需要定义一种加密方式，当前需要和前端商量好，肯定是需要前端也能加解密的，其实有很多种，这里用Base64来演示，大家下载BlogCore最新代码就能看到两个中间件，自己根据公司情况进行修改即可。
其次，我们用一个接口做例子：
http://localhost:9291/api/Login/GetJwtTokenSecret?name=blogadmin&pass=blogadmin
这是一个很简单的接口，有两个参数，分别是用户名和密码。
然后模拟登录，请求会返回token：
这样其实是不安全的，当然你可能会说用https会安全，这也不尽然，毕竟再加密一下肯定会更安全的嘛。前端小伙伴可以对这个参数进行base64加密，比如这样：
所以最终接口是这样的：
http://localhost:9291/api/Login/GetJwtTokenSecret?param=bmFtZT1ibG9nYWRtaW4mcGFzcz1ibG9nYWRtaW4=
第三，就是我们的重中之重，请求参数解密中间件。
我们需要统一的对接口入参进行解密，然后将解密的参数，再塞到接口中，往下请求，所以聪明的你肯定知道如何处理，而且也要放到中间件管道外层，代码是这样，当然后期会微调，大家还是看BlogCore最新更新就行了。
public async Task InvokeAsync(HttpContext context){// 配置开关，过滤接口if (AppSettings.app("Middleware", "EncryptionRequest", "Enabled").ObjToBool()){var isAllApis = AppSettings.app("Middleware", "EncryptionRequest", "AllApis").ObjToBool();var needEnApis = AppSettings.app<string>("Middleware", "EncryptionRequest", "LimitApis");var path = context.Request.Path.Value.ToLower();if (isAllApis || (path.Length > 5 && needEnApis.Any(d => d.ToLower().Contains(path)))){Console.WriteLine($"{isAllApis} -- {path}");if (context.Request.Method.ToLower() == "post"){// 读取请求主体using StreamReader reader = new(context.Request.Body, Encoding.UTF8);string requestBody = await reader.ReadToEndAsync();// 检查是否有要解密的数据if (!string.IsNullOrEmpty(requestBody) && context.Request.Headers.ContainsKey("Content-Type") &&context.Request.Headers["Content-Type"].ToString().ToLower().Contains("application/json")){// 解密数据string decryptedString = DecryptData(requestBody);// 更新请求主体中的数据context.Request.Body = GenerateStreamFromString(decryptedString);}}else if (context.Request.Method.ToLower() == "get"){// 获取url参数string param = context.Request.Query["param"];// 检查是否有要解密的数据if (!string.IsNullOrEmpty(param)){// 解密数据string decryptedString = DecryptData(param);// 更新url参数值context.Request.QueryString = new QueryString($"?{decryptedString}");}}await _next(context);}else{await _next(context);}}else{await _next(context);}}
核心的地方就是在信息解密那个节点，然后回填。
最后呢，就是运行下项目，就可以看到能正常的请求到接口了，而且参数也没问题：
到这里，我们就很简单的，完美的实现了这个需求，而且不用修改之前的任意代码，只需要一个中间件，就能实现，还可以手动进行控制，比如指定某几个接口等，也可以控制get请求和post请求等等。
不知道你是否有更好的建议呢，欢迎评论留言哟。
下篇文章，我们来讨论下，如何实现接口返回的时候，如何对返回内容进行加密。