细说RESTful API安全之防止重放攻击
一. 重放攻击概述
百科对重放攻击的描述：https://zh.wikipedia.org/wiki/%E9%87%8D%E6%94%BE%E6%94%BB%E5%87%BB
简而言之，重放攻击的产生是由于安全信息被攻击者截取，用于欺骗服务器。 而在REST风格的软件架构中，如果仅仅使用HTTP协议，请求数据很容易被网络抓包截取，因此在API层面必须考虑防止重放攻击的设计。
二. 防止重放攻击实践
在工程实践中，可以通过时间戳，请求序列号等方式在一定程度上防止大规模的重放攻击。 实现方式不同，效率和难易程度上略有差异，需要根据业务系统实际需求选择合适的方式。 1. 使用时间戳方式 在请求参数中添加时间戳参数，服务器端首先验证时间戳timestamp是否有效，比如是服务器时间戳5分钟之前的请求视为无效； 优点：实现简单 缺点：需要客户端和服务器时钟同步，存在重放攻击时间窗口。
2. 使用请求序列号方式 虽然使用时间戳方式可以在一定程度上控制重放攻击，但是存在时间限制。在指定时间窗口下，任然不可避免会受到攻击。 服务器端和客户端约定一个序列号生成算法（保证全局唯一性），客户端每次请求时都需要携带请求序列号。 服务器端接到请求时，先验证序列号是否合法，不合法直接拒绝。否则查看缓存中是否已经存在过该序列号，若已经存在，表明该请求已经被处理，不允许再次调用。 本次处理完毕，将请求序列号缓存。 这样可以保证一个序列号对应的请求只会被处理一次，相对比较安全地杜绝了重放攻击。 优点：不需要客户端和服务器时钟同步，每个请求只允许被处理一次，杜绝重放攻击。 缺点：实现相对复杂，客户端序列号生成算法存在被破解的风险。 3. 总结 涉及到安全问题，再怎么强调都不为过。 安全防护也不是单一的，需要多层次的检测。如：除了在应用层进行保护，常常还会在外层部署安全网关。 结合实际的业务需求，选择合理的安全实现机制即可。 【参考】 http://yuanhuan.blog.51cto.com/3367116/1441298 API重放攻击的防御策略分析 http://cn.soulmachine.me/2014-01-24-cluster-time-sync-using-ntp/ 集群时间同步--架设内网NTP服务器 http://andylhz2009.blog.51cto.com/728703/946380 内网外网服务器时间同步解决方案 http://51write.github.io/2014/04/03/ntp/ 如何实现多台机器(系统)时间的同步