SpringBoot 3.2.1 接口安全实战：HmacSHA256签名拦截器实现50秒防重放

SpringBoot 3.2.1 接口安全实战：HmacSHA256签名拦截器实现50秒防重放

在当今微服务架构盛行的时代，API接口已成为系统间通信的核心纽带。然而，随着接口调用量的激增，安全问题也日益凸显——未经授权的访问、数据篡改、重放攻击等威胁时刻考验着系统的健壮性。本文将手把手带你实现一套基于SpringBoot 3.2.1的接口安全防护方案，通过HmacSHA256签名算法与拦截器机制，构建50秒时效的防重放体系。

1. 安全威胁与防护方案设计

第三方接口调用面临三大核心威胁： 身份伪造 、 数据篡改 和 请求重放 。传统方案如Basic Auth或简单API Key已无法满足生产环境要求，我们需要更严密的安全链条。

典型攻击场景分析：

• 中间人攻击：网络传输过程中拦截并修改请求内容
• 重放攻击：恶意重复发送合法请求消耗系统资源
• 密钥泄露：硬编码的密钥被反编译获取

安全设计黄金法则：永远不要信任未经验证的请求，所有入站流量都必须经过身份、完整性和时效性三重校验。

我们的防护方案采用 双向验证 机制：

1. 签名验证 ：使用HmacSHA256算法确保请求完整性
2. 时效控制 ：50秒时间窗口防止请求重放
3. 密钥隔离 ：API Key与Secret分离存储

2. HmacSHA256签名工具类实现

签名算法的选择直接决定安全强度。相比MD5和SHA-1，HmacSHA256具有以下优势：

• 抗碰撞性更强
• 支持密钥验证
• 计算效率平衡

import javax.crypto.Mac;
import javax.crypto.spec.SecretKeySpec;
import java.nio.charset.StandardCharsets;
import java.util.Base64;

public class HmacSigner {
    private static final String ALGORITHM = "HmacSHA256";
    
    /**
     * 生成签名
     * @param timestamp 请求时间戳（毫秒）
     * @param apiKey 客户端标识
     * @param secret 加密密钥
     * @return Base64编码的签名串
     */
    public static String generateSignature(long timestamp, String apiKey, String secret) {