springboot 防重放

<think>好的，我现在需要在Spring Boot中实现防重放攻击的机制。首先，我得理解什么是重放攻击。根据引用[3]提到的，重放攻击是攻击者截获合法请求后重复发送，导致重复操作，比如重复扣款。所以，防重放的核心是确保每个请求只能被处理一次，或者在一定时间内有效。 那如何实现呢？时间戳是一个常见的方法。服务端校验请求的时间戳，如果超出允许的时间范围（比如±5分钟），就拒绝请求。这可以防止过期的请求被重复使用。此外，可能还需要结合随机数（Nonce）和签名机制来增强安全性。 接下来，我需要考虑具体步骤。首先，客户端生成时间戳和随机数，然后使用某种算法生成签名，比如HMAC-SHA256，将参数和密钥结合起来。服务端接收到请求后，先检查时间戳是否在有效期内，然后检查随机数是否已经被使用过，最后验证签名是否正确。 在Spring Boot中，可以通过拦截器或者过滤器来实现这些检查。比如，创建一个自定义的过滤器，在请求到达控制器之前进行时间戳、随机数和签名的验证。对于随机数的存储，可以使用缓存，比如Redis，设置过期时间，确保一段时间内的随机数唯一。 另外，引用[2]中提到Spring Security的注销机制，虽然不直接相关，但说明Spring Boot的过滤器机制可以用来处理安全相关的逻辑。可能需要配置Spring Security来整合这些防重放的检查。 还需要考虑密钥的管理，客户端和服务端如何安全地共享密钥。可能每个客户端有一个唯一的密钥，存储在安全的配置中心，服务端根据客户端ID获取对应的密钥进行签名验证。 最后，测试和日志记录也很重要。需要确保在请求被拒绝时记录详细信息，方便排查问题。同时，压力测试确保这些检查不会显著影响性能。</think>在Spring Boot中实现防重放攻击的核心是通过时间戳、随机数（Nonce）和签名验证的组合机制，以下是分步实现方案： --- ### 一、技术实现步骤 #### 1. **客户端请求规范** - **时间戳**：每个请求必须携带当前Unix毫秒时间戳（如`timestamp=1625558400000`） - **随机数（Nonce）**：每次请求生成唯一随机字符串（如UUID） - **签名（Signature）**：使用HMAC-SHA256算法对参数签名，例如： $$ \text{signature} = \text{HMAC-SHA256}(\text{secretKey}, \text{timestamp + nonce + requestBody}) $$ #### 2. **服务端校验逻辑** ```java // 自定义过滤器实现 public class ReplayAttackFilter extends OncePerRequestFilter { @Override protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) { // 1. 校验时间戳有效性（允许±5分钟误差） long currentTime = System.currentTimeMillis(); long requestTime = Long.parseLong(request.getHeader("timestamp")); if (Math.abs(currentTime - requestTime) > 300000) { throw new InvalidRequestException("请求已过期"); } // 2. 校验Nonce唯一性（使用Redis存储已用Nonce） String nonce = request.getHeader("nonce"); if (redisTemplate.hasKey(nonce)) { throw new InvalidRequestException("重复请求"); } redisTemplate.opsForValue().set(nonce, "used", 5, TimeUnit.MINUTES); // 3. 验证签名（从数据库获取客户端密钥） String clientId = request.getHeader("clientId"); String secretKey = clientService.getSecretKey(clientId); String generatedSign = hmacSha256(secretKey, timestamp + nonce + requestBody); if (!generatedSign.equals(request.getHeader("signature"))) { throw new InvalidRequestException("签名无效"); } chain.doFilter(request, response); } } ``` #### 3. **Spring Boot配置** ```java @Configuration public class SecurityConfig extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception { http.addFilterBefore(new ReplayAttackFilter(), UsernamePasswordAuthenticationFilter.class); } } ``` --- ### 二、最佳实践建议 1. **时间窗口动态调整** 根据业务场景配置时间误差阈值（如支付场景设为3分钟，普通接口5分钟）[^3]。 2. **Nonce存储优化** 使用Redis集群存储已用Nonce，设置自动过期时间（时间窗口+缓冲期），避免内存泄漏。 3. **密钥安全管理** - 每个客户端分配独立密钥，定期轮换 - 密钥存储使用Vault或KMS服务，避免硬编码 4. **流量监控与告警** 对频繁触发防重放规则的IP进行限流，并触发安全告警。 --- ### 三、增强措施 1. **请求序列号（Sequence ID）** 对高敏感操作添加自增序列号，服务端校验序列号的连续性。 2. **HTTPS强制使用** 防止中间人获取明文请求进行重放。 3. **业务层幂等性设计** 如支付接口通过订单ID保证幂等性，即使请求重放也仅生效一次[^3]。 ---