面试题 | 02 | 非面经，纯分享，辩证看待答案。 #面试题# 压力山大的问题： 可以讲下API签名认证的流程吗？ (感觉这种流程题，如果是线下面试，是不是拿出纸，画出流程图给面试官看更好些) 找工作的我： 好的，那其实签名认证的话，它主要是为了保证接口的安全性，防止一些需要成本的，例如使用到AI的API的这种的，万一被攻击，会导致资源被大量消耗。 那API签名认证的话，它涉及到五个参数，首先两个是accessKey和secretKey，它们类似于公钥和密钥，那这个的信息的话，只能让对应的用户看到。 第三个参数的话是sign，标签，我在项目中是采用实现一个工具类去制作的，是用的secretKey 、请求参数和签名算法(MD5)然后生成一个sign1，然后客户端会把这个accessKey 和请求参数一起发送到服务端，那服务端会根据accessKey去数据库查询这个secretKey，接着还是利用刚才提到的工具类去生成sign2，最后比较sign1和sign2是否相同，相同，则说明请求参数没有被篡改。 那其实一般到这里就算基本的流程了，但是为了防止被攻击重放，还需要第四个参数，nonce，我们会在每次请求中生成一个随机的nonce，将这个nonce存入redis中，并设置好TTL，那么往后的请求过来的时候，跟redis中的nonce进行比较，如果一样的话则拒绝请求，如果不存在，才放行请求，那这样的话就可以解决重放的问题。 但是如果说这个攻击者它等到redis中的nonce过期后再进行重放，那它又可以请求成功。对于这种情况，就得使用到第五个参数，timestamp时间戳，假设我们定义的时间戳是一分钟，那服务器只能接收一分钟内的时差请求，那我们在redis设置的nonce的TTL略大于一分钟即可。这样请求重放过来，如果在一分钟内的，因为nonce存在，无法放行。如果请求大于一分钟的，因为超过了一分钟时差的规定，也无法放行。至此，API签名认证所有流程就算完毕了。