构建安全的暗码学网站后端：Java实现 - ToB企服应用市场:ToB评测及商务社交产业平台

import javax.crypto.Cipher;
import javax.crypto.KeyGenerator;
import javax.crypto.SecretKey;
import javax.crypto.spec.SecretKeySpec;
public class SimpleCrypto {
public static void main(String[] args) throws Exception {
// 生成AES密钥
KeyGenerator keyGen = KeyGenerator.getInstance("AES");
keyGen.init(128); // 密钥长度为128位
SecretKey secretKey = keyGen.generateKey();
// 将密钥转换为字节数组
byte[] keyBytes = secretKey.getEncoded();
SecretKeySpec keySpec = new SecretKeySpec(keyBytes, "AES");
// 创建一个Cipher实例用于AES加密
Cipher cipher = Cipher.getInstance("AES");
cipher.init(Cipher.ENCRYPT_MODE, keySpec);
// 待加密的数据
String data = "Hello World!";
byte[] encryptedData = cipher.doFinal(data.getBytes());
// 输出加密数据的字节数组
System.out.println("Encrypted data: " + bytesToHex(encryptedData));
}
// 字节数组转十六进制字符串
private static String bytesToHex(byte[] bytes) {
StringBuilder sb = new StringBuilder();
for (byte b : bytes) {
sb.append(String.format("%02x", b));
}
return sb.toString();
}
}

复制代码

# 4. HTTPS和SSL/TLS配置
## 4.1 HTTPS协议与SSL/TLS
### 4.1.1 HTTPS的工作原理
HTTPS（HyperText Transfer Protocol Secure）是在HTTP基础上通过SSL/TLS协议提供加密通信和身份验证的网络协议。它被广泛用于互联网上进行安全通信，尤其是在处理敏感信息如登录凭据、信用卡信息等时。
HTTPS的工作流程大体如下：
1. 客户端（如浏览器）发起一个HTTPS请求，连接到服务器的443端口。
2. 服务器返回其SSL/TLS证书给客户端，证书中包含了服务器的公钥信息。
3. 客户端验证证书的有效性，如果证书合法，客户端将使用证书中提供的公钥加密一个随机生成的对称密钥，并发送给服务器。
4. 服务器使用自己的私钥解密，得到对称密钥。
5. 服务器和客户端使用该对称密钥进行后续的通信加密，确保数据传输的安全性。
这一过程中，SSL/TLS提供了服务器身份验证和加密通信机制，确保了数据传输的机密性、完整性和认证性。
### 4.1.2 SSL/TLS握手过程详解
SSL/TLS握手是建立加密连接的关键步骤，它包括以下过程：
1. **客户端Hello**：客户端发起连接请求并提供支持的TLS版本、加密算法套件、随机数等信息。
2. **服务器Hello**：服务器响应客户端，选择双方都支持的TLS版本和加密算法，并提供服务器证书。
3. **服务器验证**：客户端验证服务器证书的有效性，包括检查证书是否由信任的CA机构签名，证书是否过期等。
4. **密钥交换**：客户端生成一个预主密钥（Pre-Master Secret），并使用服务器的公钥加密后发送给服务器。服务器使用私钥解密得到预主密钥。
5. **客户端密钥派生**：客户端使用预主密钥、客户端随机数和服务器随机数派生出会话密钥（对称密钥）。
6. **服务器密钥派生**：服务器同样使用这三个参数派生出会话密钥。
7. **客户端与服务器交换Finished消息**：使用会话密钥加密并发送 Finished 消息给对方，确认密钥协商成功。
一旦握手成功，客户端和服务器之间就可以使用派生出的会话密钥进行加密通信。
## 4.2 HTTPS配置实践
### 4.2.1 服务器端SSL/TLS配置
配置HTTPS需要在服务器上安装SSL/TLS证书，并进行相应的配置。以下是配置Apache服务器使用SSL/TLS证书的步骤：
1. **获取证书**：可以从证书颁发机构（CA）购买证书，或者使用免费的Let's Encrypt证书。
2. **配置Apache服务器**：
打开Apache的配置文件（通常是httpd.conf或apache2.conf）并启用SSL模块：
```apache
LoadModule ssl_module modules/mod_ssl.so
```
3. **配置SSL指令**：
在Apache配置文件中，设置SSL指令为证书和密钥的路径：
```apache
SSLCertificateFile "/path/to/your/certificate.crt"
SSLCertificateKeyFile "/path/to/your/private.key"
SSLCertificateChainFile "/path/to/chainfile.pem"
```
4. **配置Virtual Host**：
配置监听443端口的VirtualHost指令块，指定证书、密钥和其他安全指令：
```apache
<VirtualHost *:443>
***
SSLEngine on
SSLCertificateFile "/path/to/your/certificate.crt"
SSLCertificateKeyFile "/path/to/your/private.key"
SSLCertificateChainFile "/path/to/chainfile.pem"
# 其他配置...
</VirtualHost>
```
5. **重启Apache服务**：
应用更改后，重启Apache服务使配置生效：
```bash
sudo apachectl restart
```
### 4.2.2 客户端SSL/TLS配置和调试
客户端配置主要是指在需要访问HTTPS服务的系统或应用中正确配置证书。以下是在不同环境下配置客户端证书的步骤。
1. **浏览器配置**：
在浏览器中导入CA颁发的根证书，确保浏览器信任由该CA签名的所有服务器证书。
2. **命令行工具**：
使用命令行工具（如curl）与HTTPS服务器交互时，可以通过以下命令指定客户端证书和私钥：
```bash
curl --cacert /path/to/ca.pem \
--cert /path/to/client.crt:password \
--key /path/to/client.key \
***
```
3. **调试SSL/TLS连接**：
使用SSL Labs提供的SSL Server Test工具可以帮助你测试和调试SSL配置。
访问SSL Labs的网站，并输入你的域名，工具会自动分析你的服务器配置并给出安全评分和建议。
如果需要更详细的调试信息，可以使用openssl命令行工具：
```bash
openssl s_***:443 -debug
```
这将提供SSL/TLS握手的详细信息，有助于发现配置中的问题。
以上步骤展示了配置服务器和客户端SSL/TLS的基本流程，随着互联网安全意识的提高，正确配置SSL/TLS已经成为保护数据传输安全的重要环节。
# 5. JWT身份验证与权限控制
## 5.1 JWT原理和应用
JSON Web Token（JWT）是一种开放标准（RFC 7519），用于在网络应用环境间传递声明。它由三个部分组成：Header（头部）、Payload（负载）、Signature（签名），通过点（.）分隔这三部分。JWT作为一个轻量级的认证机制，广泛应用于Web应用的身份验证和信息交换中。
### 5.1.1 JSON Web Tokens概述
在深入讨论JWT之前，理解其构成要素至关重要。Header指定了这个token的类型（即JWT），以及所使用的签名算法（如HMAC SHA256或RSA）。Payload是实际存放声明的地方，包括标准中注册的声明和私有声明。Signature部分是为了防止篡改，是Header和Payload通过Base64URL编码后的字符串，用Header中指定的算法进行加密的签名。
JWT的设计允许服务器端签发一个token，发送给客户端，并在之后的请求中携带这个token，服务器端通过验证签名确认token的有效性，从而进行身份验证和权限控制。
### 5.1.2 JWT的构建和验证流程
JWT构建流程涉及到将声明放入Payload部分，然后对Header和Payload进行Base64编码，再使用一个密钥签名生成JWT。这个过程可以通过一个简单的代码块展示：
```java
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
// 构建JWT
String secretKey = "secret";
long nowMillis = System.currentTimeMillis();
Date now = new Date(nowMillis);
String jws = Jwts.builder()
.setHeaderParam("typ", "JWT")
.setIssuer("me")
.setIssuedAt(now)
.setExpiration(new Date(nowMillis + 3600000)) // 1 hour validity
.setSubject("subject")
.signWith(SignatureAlgorithm.HS256, secretKey)
.compact();

复制代码

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
// 验证JWT
Claims claims = Jwts.parser()
.setSigningKey(secretKey)
.parseClaimsJws(jws)
.getBody();

复制代码

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http
.csrf().disable() // 取消CSRF防护
.authorizeRequests()
.antMatchers("/api/public/**").permitAll() // 对公共API无需认证
.anyRequest().authenticated() // 其他请求需要认证
.and()
.addFilterBefore(new JWTAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);
}
}
public class JWTAuthenticationFilter extends BasicAuthenticationFilter {
public JWTAuthenticationFilter(AuthenticationManager authenticationManager) {
super(authenticationManager);
}
@Override
protected void doFilterInternal(HttpServletRequest request,
HttpServletResponse response,
FilterChain chain) throws IOException, ServletException {
String header = request.getHeader("Authorization");
if (header == null || !header.startsWith("Bearer ")) {
chain.doFilter(request, response);
return;
}
UsernamePasswordAuthenticationToken authentication = getAuthentication(request);
SecurityContextHolder.getContext().setAuthentication(authentication);
chain.doFilter(request, response);
}
private UsernamePasswordAuthenticationToken getAuthentication(HttpServletRequest request) {
// 此处应提取并验证token，如果有效则生成认证信息UsernamePasswordAuthenticationToken
// ...
}
}

复制代码

import javax.crypto.Cipher;
import javax.crypto.KeyGenerator;
import javax.crypto.SecretKey;
import javax.crypto.spec.SecretKeySpec;
public class AESExample {
public static void main(String[] args) throws Exception {
KeyGenerator keyGenerator = KeyGenerator.getInstance("AES");
keyGenerator.init(128); // 128, 192, or 256 bits
SecretKey secretKey = keyGenerator.generateKey();
// 真实环境需要使用安全的方式来存储和传输密钥
Cipher cipher = Cipher.getInstance("AES");
byte[] plainText = "This is a secret message".getBytes();
byte[] cipherText;
// 加密
cipher.init(Cipher.ENCRYPT_MODE, secretKey);
cipherText = cipher.doFinal(plainText);
System.out.println("Cipher text: " + new String(cipherText));
// 解密
cipher.init(Cipher.DECRYPT_MODE, secretKey);
byte[] decodedText = cipher.doFinal(cipherText);
System.out.println("Decrypted text: " + new String(decodedText));
}
}

复制代码

import java.security.KeyPair;
import java.security.KeyPairGenerator;
import java.security.PrivateKey;
import java.security.PublicKey;
import javax.crypto.Cipher;
public class RSAExample {
public static void main(String[] args) throws Exception {
KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance("RSA");
keyPairGenerator.initialize(2048); // Key size
KeyPair keyPair = keyPairGenerator.generateKeyPair();
PublicKey publicKey = keyPair.getPublic();
PrivateKey privateKey = keyPair.getPrivate();
Cipher cipher = Cipher.getInstance("RSA");
byte[] plainText = "This is a secret message".getBytes();
// 加密
cipher.init(Cipher.ENCRYPT_MODE, publicKey);
byte[] cipherText = cipher.doFinal(plainText);
System.out.println("RSA Cipher text: " + new String(cipherText));
// 解密
cipher.init(Cipher.DECRYPT_MODE, privateKey);
byte[] decodedText = cipher.doFinal(cipherText);
System.out.println("RSA Decrypted text: " + new String(decodedText));
}
}

复制代码

import java.nio.file.Files;
import java.nio.file.Paths;
import java.security.KeyStore;
import java.security.PrivateKey;
import java.security.Signature;
import java.util.Base64;
public class SignatureExample {
public static void main(String[] args) throws Exception {
Signature privateSignature = Signature.getInstance("SHA256withRSA");
Signature publicSignature = Signature.getInstance("SHA256withRSA");
// 加载私钥
KeyStore keyStore = KeyStore.getInstance("PKCS12");
try (var fis = new java.security.KeyStore.PasswordProtection("password".toCharArray())) {
keyStore.load(Files.newInputStream(Paths.get("keystore.pfx")), fis);
PrivateKey privateKey = (PrivateKey) keyStore.getKey("alias", "password".toCharArray());
privateSignature.initSign(privateKey);
}
// 签名数据
byte[] data = "This is a secret message".getBytes();
privateSignature.update(data);
byte[] signedData = privateSignature.sign();
// 加载公钥进行验证
KeyStore keyStore = KeyStore.getInstance("JKS");
try (var fis = new java.security.KeyStore.PasswordProtection("password".toCharArray())) {
keyStore.load(Files.newInputStream(Paths.get("truststore.jks")), fis);
PublicKey publicKey = (PublicKey) keyStore.getCertificate("alias").getPublicKey();
publicSignature.initVerify(publicKey);
}
publicSignature.update(data);
boolean verifies = publicSignature.verify(signedData);
System.out.println("Verification: " + verifies);
}
}

复制代码

// 可以通过 httpsConn 的 getInputStream() 方法来发送请求并接收响应
// 关闭连接
httpsConn.disconnect();
}

复制代码