Java请求签名案例如何校验

wen java案例 2026-06-28 31

Java请求签名案例：如何校验签名完整性？从原理到实战

目录导读

为什么需要请求签名验证？
签名校验的核心原理
Java签名校验实现案例
常见签名算法对比与选择
签名校验中的防重放与时间戳机制
生产环境签名校验最佳实践
FAQ：请求签名校验常见问题

为什么需要请求签名验证？

在微服务架构和开放API盛行的今天，请求验证是保障系统安全的第一道关卡,你是否遇到过以下问题？

Java请求签名案例如何校验

第三方应用程序伪造你的API请求
请求在传输过程中被篡改参数
恶意用户重复提交历史请求

以支付宝、微信支付为例，每一次API调用都必须通过签名验证，签名校验本质上是身份验证 + 数据完整性校验的双重保障机制。

核心问答：

Q：为什么不能只靠Token或密钥进行验证？ A：Token仅验证调用方身份，但无法保证请求内容是否被中间人篡改，签名通过将请求参数与密钥混合计算,能同时验证身份和内容完整性。

签名校验的核心原理

签名校验流程可抽象为以下四个步骤：

客户端流程：
1. 获取请求参数（URI、Body、Headers等）
2. 按规则排序参数并拼接为字符串
3. 使用密钥对字符串进行摘要/加密生成签名
4. 将签名附加到请求头或参数中
服务端流程：
1. 接收请求，提取参数与签名
2. 使用相同步骤重新计算签名
3. 比对两个签名是否一致
4. 验证时间戳防止重放攻击

值得注意的是，排序规则必须唯一且公开，通常采用字典序排序 + 特定分隔符拼接。

核心问答：

Q：排序为什么如此重要？ A：因为param1=value1&param2=value2 与 param2=value2&param1=value1 的哈希计算结果完全不同，没有统一排序,服务端永远无法校验成功。

Java签名校验实现案例

下面是一个基于HMAC-SHA256的完整案例,模拟对外提供API时的签名校验逻辑。

1 客户端签名生成代码

import javax.crypto.Mac;
import javax.crypto.spec.SecretKeySpec;
import java.net.URLEncoder;
import java.nio.charset.StandardCharsets;
import java.util.*;
public class ClientSignatureExample {
    private static final String SECRET_KEY = "your-secret-key-2024";
    private static final String SIGN_HEADER = "X-Signature";
    public static void main(String[] args) throws Exception {
        // 请求参数
        Map<String, String> params = new LinkedHashMap<>();
        params.put("biz_id", "20241010001");
        params.put("amount", "199.99");
        params.put("timestamp", String.valueOf(System.currentTimeMillis()));
        // 1. 对参数按字典序排序并拼接
        List<String> sortedKeys = new ArrayList<>(params.keySet());
        Collections.sort(sortedKeys);
        StringBuilder sortedStr = new StringBuilder();
        for (String key : sortedKeys) {
            sortedStr.append(key).append("=")
                     .append(URLEncoder.encode(params.get(key), "UTF-8"))
                     .append("&");
        }
        // 去除末尾&
        sortedStr.deleteCharAt(sortedStr.length() - 1);
        // 2. 计算签名
        String signature = hmacSha256(sortedStr.toString(), SECRET_KEY);
        System.out.println("原始参数排序后字符串: " + sortedStr);
        System.out.println("生成的签名: " + signature);
    }
    private static String hmacSha256(String data, String secret) throws Exception {
        Mac mac = Mac.getInstance("HmacSHA256");
        SecretKeySpec secretKey = new SecretKeySpec(
                secret.getBytes(StandardCharsets.UTF_8), "HmacSHA256");
        mac.init(secretKey);
        byte[] hash = mac.doFinal(data.getBytes(StandardCharsets.UTF_8));
        StringBuilder hexString = new StringBuilder();
        for (byte b : hash) {
            String hex = Integer.toHexString(0xff & b);
            if (hex.length() == 1) hexString.append('0');
            hexString.append(hex);
        }
        return hexString.toString();
    }
}

2 服务端签名校验代码

import javax.crypto.Mac;
import javax.crypto.spec.SecretKeySpec;
import java.net.URLDecoder;
import java.nio.charset.StandardCharsets;
import java.util.*;
public class ServerSignatureValidator {
    private static final String SECRET_KEY = "your-secret-key-2024";
    private static final long TIME_WINDOW = 300_000; // 5分钟时间窗口
    public static boolean validateSignature(Map<String, String> params,
                                            String receivedSignature) throws Exception {
        // 1. 检查时间戳防重放
        String timestampStr = params.get("timestamp");
        if (timestampStr == null) return false;
        long requestTime = Long.parseLong(timestampStr);
        long currentTime = System.currentTimeMillis();
        if (Math.abs(currentTime - requestTime) > TIME_WINDOW) {
            System.out.println("请求已过期或被重放攻击");
            return false;
        }
        // 2. 按相同规则排序拼接
        List<String> sortedKeys = new ArrayList<>(params.keySet());
        Collections.sort(sortedKeys);
        StringBuilder sortedStr = new StringBuilder();
        for (String key : sortedKeys) {
            // 注意：排除签名本身，服务端收到的参数集不含sign字段
            if ("sign".equals(key)) continue;
            sortedStr.append(key).append("=")
                     .append(URLDecoder.decode(params.get(key), "UTF-8"))
                     .append("&");
        }
        sortedStr.deleteCharAt(sortedStr.length() - 1);
        // 3. 计算签名对比
        String expectedSignature = hmacSha256(sortedStr.toString(), SECRET_KEY);
        return expectedSignature.equals(receivedSignature);
    }
    private static String hmacSha256(String data, String secret) throws Exception {
        // 与客户端实现完全一致，此处省略重复代码
        return "";
    }
}

核心问答：

Q：服务端为何要排除sign字段？ A：签名本身是校验内容，如果包含签名值到计算中，会导致循环依赖,客户端在发送时也不应将sign参数加入排序字符串。

常见签名算法对比与选择

算法	加密类型	性能	安全性	适用场景
MD5	摘要	快	低（已破解）	不推荐使用
SHA-256	摘要	快	高	推荐通用场景
HMAC-SHA256	带密钥摘要	快	极高	签名校验首选
RSA256	非对称加密	较慢	极高	需要双向身份验证

我们的建议：

内部服务间通信：使用HMAC-SHA256，配合对称密钥管理
开放API给第三方：优先使用RSA签名，分发公钥给调用方
支付宝/微信等：它们使用RSA-SHA256（如OpenAPI规范）

核心问答：

Q：为什么HMAC比纯哈希（如SHA256）更适合签名？ A：HMAC引入了密钥，即使攻击者知道哈希算法和明文，也无法伪造签名，纯SHA256是无密钥的,任何人都可以计算出相同结果。

签名校验中的防重放与时间戳机制

重放攻击（Replay Attack）是指攻击者截获一次合法的API请求，然后重复发送给服务器，即使签名正确，如果服务器不加以验证，攻击者可以重复执行扣款、下单等操作。

经典解决方案： 时间戳 + 随机数

// 服务端时间戳验证示例
long requestTs = Long.parseLong(params.get("timestamp"));
long now = System.currentTimeMillis();
if (now - requestTs > 300_000) { // 5分钟窗口
    response.setStatus(403);
    return "请求已过期";
}
// 高级方案：添加Nonce（一次性随机数）
// 服务端维护已用Nonce的缓存（Redis SET），避免同一随机数被重复使用
if (redis.exists(requestNonce)) {
    return "重放攻击：该请求已被处理";
} else {
    redis.setEx(requestNonce, 600, "used"); // 10分钟过期
}

注意： 时间戳应使用UTC毫秒级，且服务端与客户端时间建议同步（通过NTP时间同步）。

核心问答：