HMAC API 接口签名 Message安全验证

什么是HMAC？

HMAC 全称（Hash-based Message Authentication Code，即基于Hash的消息的认证码）。 - 基本过程为对某个消息，利用提前共享的对称密钥和Hash算法进行加密处理，得到HMAC值。 - 该HMAC值提供方可以证明自己拥有共享密钥的对称密钥，并且消息自身可以利用HMAC确保未经篡改。

为什么需要 API 接口签名？

 对外开放的 API 接口都会面临一些安全问题，例如伪装攻击、篡改攻击、重放攻击以及数据信息泄漏的风险。利用 API 接口签名能方便的防范这些安全问题和风险。在设计 API 接口签名时主要考虑以下几点：

保证请求数据正确
       当请求中的某一个字段的值变化时，原有的签名结果就会发生变化。所以，只要参数发生变化，签名就要发生变化，否则请求将会是一个无效的请求。

保证请求来源合法
       一般情况下，生成签名的算法都会成对出现一个 appKey 和一个 appSecret，根据 appKey 能识别出调用者身份；根据 appSecret 能识别出签名是否合法。

识别接口的时效性
       一般情况下，签名和参数中会包含时间戳，这样服务端就可以验证客户端请求是否在有效时间内，从而避免接口被长时间的重复调用。

API签名可以理解为就是对API的调用进行签名保护。是在进行API调用时，加了一个调用者及其调用行为的指纹信息，以帮助服务端更好的识别用户及其调用行为的合法性。其直接目的归纳为：

（1）明确调用者的身份（确认调用者是谁）

（2）明确调用者的调用行为（确认调用者想要做什么）