一、引言

在开发过程中，我们常常会遇到接口网关对时间戳、随机数及防重放攻击有严格校验的情况。这就需要我们在请求正式发出前动态计算签名参数。而Postman的Pre - request Script为我们提供了一个很好的解决方案。

二、Postman的Pre - request Script介绍

Postman是一款非常流行的API开发工具，它的Pre - request Script允许我们在发送请求之前执行一段JavaScript代码。这段代码可以用来动态生成请求参数、设置请求头或者进行一些数据处理。

例如，我们可以在Pre - request Script中获取当前时间戳作为时间戳参数：

// 获取当前时间戳
let timestamp = new Date().getTime();
pm.variables.set('timestamp', timestamp);

在上述代码中，我们使用JavaScript的new Date().getTime()方法获取当前时间戳，并将其设置为Postman的一个环境变量timestamp。

三、动态计算签名参数的实现

3.1 生成随机数

在计算签名参数时，随机数是一个重要的组成部分。我们可以在Pre - request Script中生成一个随机数：

// 生成一个随机数
let random = Math.floor(Math.random() * 10000);
pm.variables.set('random', random);

上述代码使用JavaScript的Math.random()方法生成一个0到1之间的随机数，然后通过Math.floor()方法将其转换为整数，并设置为环境变量random。

3.2 计算签名

假设我们的签名算法是将时间戳、随机数和一个固定的密钥进行MD5加密。我们可以在Pre - request Script中实现这个算法：

// 假设密钥为'secretKey'
let secretKey ='secretKey';
let timestamp = pm.variables.get('timestamp');
let random = pm.variables.get('random');
let dataToSign = timestamp + random + secretKey;
let crypto = require('crypto');
let hash = crypto.createHash('md5').update(dataToSign).digest('hex');
pm.variables.set('signature', hash);

在这段代码中，我们首先获取之前设置的时间戳和随机数，然后将它们与密钥拼接在一起。接着，我们使用Node.js的crypto模块进行MD5加密，并将加密后的结果设置为环境变量signature。

3.3 在请求中使用签名参数

在请求的参数或者请求头中，我们可以使用之前设置的签名参数。例如，如果我们需要在请求头中设置签名：

pm.request.headers.add({
    key: 'Signature',
    value: pm.variables.get('signature')
});

上述代码将签名添加到请求头中。

四、应用场景

4.1 接口安全防护

在很多Web应用中，接口需要防止被非法调用。通过在请求前动态计算签名参数，可以有效防止接口被伪造请求攻击。例如，在一个电商系统中，用户下单接口需要防止恶意用户通过抓包工具修改订单信息后重新发送请求。

4.2 防重放攻击

重放攻击是指攻击者截获并记录合法用户的请求，然后在稍后的时间再次发送相同的请求，以获取非法利益。通过使用时间戳和随机数，每次请求的签名都是唯一的，从而防止了重放攻击。

五、技术优缺点

5.1 优点

  • 灵活性高：可以根据不同的接口需求，在Pre - request Script中编写不同的逻辑来计算签名参数。
  • 易于集成：Postman是一款广泛使用的工具，与各种开发环境和技术栈都有很好的兼容性。

5.2 缺点

  • 安全性依赖于密钥：如果密钥泄露，攻击者可以伪造签名。
  • 增加开发复杂度：需要开发者对签名算法和Postman的Pre - request Script有一定的了解。

六、注意事项

6.1 密钥管理

密钥必须妥善保管，不能在代码中明文存储。可以考虑使用环境变量或者配置文件来存储密钥。

6.2 签名算法选择

选择合适的签名算法非常重要。一些简单的算法可能容易被破解，而复杂的算法可能会影响性能。

6.3 兼容性

在不同的环境中使用Postman时，需要注意Pre - request Script的兼容性。

七、文章总结

通过利用Postman的Pre - request Script在请求正式发出前动态计算签名参数，我们可以有效地解决接口网关对时间戳、随机数及防重放攻击的严格校验难题。在实际应用中，我们需要根据具体的需求和场景，选择合适的签名算法，并注意密钥管理和兼容性等问题。同时，我们也需要了解Postman的Pre - request Script的特点和使用方法，以便更好地实现签名参数的动态计算。