通用接口标准规范v.doc

接口标准规范
NO.
修改后
版本号
修改的
页码及条款
修改类型、原因及说明
修改人
修改时间
1

全文
创建
2019/1/1
目录
接口标准规范 1
第1章 概述 3
第2章 基本要求 4
信息通讯安全 4
安全评估 4
访问控制 4
防恶意代码 4
加密 5
支持高并发 6
可监控 6
日志全覆盖 6
系统资源的动态扩展 6
异常处理机制 7
业务扩展 7
第3章 接口通讯方式 7
同步请求/应答方式 7
异步请求/应答方式 7
会话方式 7
广播通知方式 7
事件订阅方式 7
文件传输 8
可靠消息传输 8
第4章 传输控制要求 8
负载均衡 8
伸缩性与动态配置管理 8
网络调度 9
充分理由 9
单一职责 9
高内聚低耦合 9
状态及消息 10
控制数据量 10
禁止随意拓展参数 10
第5章 接口技术 10
第6章 接口规范 11
域名规范 11
http接口 11
webservice接口 11
API路径规范 11
http接口 11
webservice接口 11
版本控制规范 12
http接口 12
webservice接口 12
API命名规范 12
新增方法 13
删除方法 13
修改方法 13
获取方法 13
获取列表方法 13
请求参数规范 14
参数需要命名规则 14
请求参数加密方法 14
列表请求特殊规范 15
返回数据规范 15
第7章 接口文档规范 16
第8章 接口管理 16
对接口分类、编码排序。 16
在线文档。 16
概述
本文主要为了明确标准和规范，为服务使用方和服务提供方提供开发参考。
基本要求
为了保证系统的完整性和健壮性，系统接口应满足下列基本要求：
信息通讯安全
安全评估
保证接口的自身安全，通过接口实现技术上的安全控制，做到对安全事件的“可知、可控、可预测”，是实现系统安全的一个重要基础。
访问控制
如果客户端很频繁的请求服务器，会给给服务器造成很大的压力，需要对客户端对API的请求做一些限制。比如单位时间内同一IP只能请求多少次。
防恶意代码
用户名sql注入
例如：用户名sql注入登录名输入：lilei'#
select *from student where user='lilei' and psd='123456'
sql语句就变成了select *from student where user='lilei'#'and psd='123456'(#/--后面的内容都会被注释掉)
跨站脚本
例如脚本攻击测试：
<script>alter(123456)</script>
命令注入：PHP提供部分函数用来执行外部应用程序
异常字符测试：结束符、换行符，针对字符串，在中间插入特殊字符，比如结束符等，服务端没有进行验证
1、调用可执行的系统命令函数。
2、函数活着函数的参数控制。
3、拼接注入命令<script>alter(123456)</script>。
命令注入：PHP提供部分函数用来执行外部应用程序
异常字符测试：结束符、换行符，针对字符串，在中间插入特殊字符，比如结束符等，服务端没有进行验证
1、调用可执行的系统命令函数。
2、函数活着函数的参数控制。
3、拼接注入命令。
加密
接口调用方和接口提供方约定好统一的参数加密算法。
（加密方法参照接口规范的请求参数规范）
接口调用方在调用时把加密后的_sign放在参数中去请求接口。
接口提供方接到响应后，判断时间戳是不是在有效时间内（这个时间间隔根据你的安全范围可以是10分钟，5分钟，20秒等，过期失效，前提是需要保证接口提供方和调用方的服务器时间为准确的网络同步时间）。
把参数中除了_sign以外的参数进行加密，然后把加密结果和传过来的_sign比较，相同则执行调用请求。
如果服务器和客户端的时间没有同步，可以返回错误