PHP-RSA加密跨域通讯实战

169次阅读

共计 17151 个字符，预计需要花费 43 分钟才能阅读完成。

AUTH：PHILO EMAIL：lijianying12 at gmail.com

基于 POST GET 的 http 通讯虽然非常成熟，但是很容易被人监听。并且如果使用跨域 jsonp 的通讯很容易在历史记录中发现通讯网址以及参数。为了克服这些问题，并且降低服务器成本，我们没有使用 SSL 而使用 RSA 加密。文章中的 php 加密解密 JS 的加密解密互相加密解密都能验证通过。

其中 PHP 依赖常见的 OPENSSL LIB。JS 依赖 jsencrypt。

我们使用 jsonp get RSA 加密通讯好处如下：

前后分离适合 cdn 加速。
安全跨域更适合松散结构的网站。
不用去买 ssl 证书了。

PHP-RSA 加密跨域通讯实战

openssl genrsa 1024>private.key
openssl rsa –inprivate.key –pubout >public.key

下载最新版本请移步到 github：jsencrypt 代码在目录 BIN 下面是否用压缩的根据情况决定。

var keySize =1024;// 加密强度
var crypt =newJSEncrypt({default_key_size: keySize});//RSA 操作对象
// 方法 1 (async)
crypt.getKey(function(){
crypt.getPrivateKey();
crypt.getPublicKey();
});
// 方法 2：
crypt.getKey();
crypt.getPrivateKey();
crypt.getPublicKey();

var crypt1 =newJSEncrypt();// 新建 rsa 对象
var publickey =‘\
—–BEGIN PUBLIC KEY—–\
MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC3N8LJFqlsa6loCgFpgZVMr/Sx\
DMQY7pr0euNQfh2g+UVPbB0MGhoc7nWL0FQhCgDedbjQw/nGFStFx7W1+0o1oRTY\
u5ebNVivZSobraUv7LJvwT8O66Zs8cxbKLqQ/nE/WwJvXomSIckH6R8iOUO8/QT9\
kv6/L0Uma3qA07pmDQIDAQAB\
—–END PUBLIC KEY—–\
‘;
crypt1.setPublicKey(publickey );// 添加来自服务端的 publickey
crypt1.encrypt(‘abc’);// 返回值为加密后的结果

var privatekey =‘—–BEGIN RSA PRIVATE KEY—–\
MIICXQIBAAKBgQC3N8LJFqlsa6loCgFpgZVMr/SxDMQY7pr0euNQfh2g+UVPbB0M\
Ghoc7nWL0FQhCgDedbjQw/nGFStFx7W1+0o1oRTYu5ebNVivZSobraUv7LJvwT8O\
66Zs8cxbKLqQ/nE/WwJvXomSIckH6R8iOUO8/QT9kv6/L0Uma3qA07pmDQIDAQAB\
AoGBAKba3UWModbfZXQeSJLxNCqWw9zJp3ydL/keQQ35DLqgyIJAD2QKEWXvtJUT\
sMo19fyicSGOmFXQyYvPCKkmpLkOMAj1XaNpSMtSrcMx+gC01PO6Ey9rsUxW1g3u\
fpqbEk9E3a5AtCS0I61nbUpRL6rqMtR5o2wcNR3TLtJt7pjxAkEA7hlFJKU1zWGp\
OvvkJDnHc2NOCEJoGjqCR9wwv96+/xAykl2laI6WvEbbhjoO0+8+d17oigjhneS5\
2UKFcfqw7wJBAMT+MCQ5TYLQlvjrBaDMqOdLsqtaDE6CpkrgwV820QMvHOo3R4Xd\
uSbrA2tOr9t2/x+FzF971lRGdPFIch9UYMMCQQCZtO6SDaWCBP3++gX57OL5dq41\
XsldxU+9nERMWTvr5UUAgDv8F7Dvsr6dFHXmE5i77yUnlzwvdi0UOIF1Z2U5AkBV\
wyRKYPgx34Ya0JcerntKV1Zt60I4XADx0G/feAn/DN/VyENHMISPQPm4GgXN0jy4\
CJQ1bcCd6B65fQTSRvXpAkA2Vv5yXzeKDls/AyxHEoros/VYftVc1HOFC++q13Rw\
NH2rnlRT8FMTFEqL9MYRqvvYAFf5VmH0M1Nx5t4LRN+l\
—–END RSA PRIVATE KEY—–\
‘;
var crypt2 =newJSEncrypt();// 新建加密对象
crypt2.setPrivateKey(privatekey);// 给加密对象设置 privatekey
crypt2.getPublicKey();//Tip 我们是不需要存储 publickey 的直接用 private 能得到 publickey
crypt2.decrypt(“MeUqWB5LwTh8crzPqbZtEtKuZxYvPWH9CTCChK1qoBzIgIXGPCdzNMbiH0cCYHl5qWSERIDOgDIgv4dXsIMjEJ5q0cp/qNQYHM5va0iw0UvKvQB1E8aWtY2nFEPy4F+ArQ0Mj/ijr/CntEP1jHKC3WU9nu2kYrBIBnbj14Bs+kI=”);// 调用解密方法

那么这种加密长度大概能容纳多少数据呢？我们借助 json-generator 来帮忙生成 JSON

sdata =[
{
“_id”:“542f9ac2359c7d881bc0298e”,
“index”:0,
“guid”:“db1dacc1-b870-4e3c-bc1a-80dfd9506610”,
“isActive”:false,
“balance”:“$1,570.15”,
“picture”:“http://placehold.it/32×32”,
“age”:36,
“eyeColor”:“blue”,
“name”:“Effie Barr”,
“gender”:“female”,
“company”:“ZORK”,
“email”:“effiebarr@zork.com”,
“phone”:“+1 (802) 574-3379”,
“address”:“951 Cortelyou Road, Wikieup, Colorado, 4694”,
“about”:“Sunt reprehenderit do laboris velit qui elit duis velit qui. Nostrud sit eiusmod cillum exercitation veniam ad sint irure cupidatat sunt consectetur magna. Amet nisi velit laboris amet officia et velit nisi nostrud ipsum. Cupidatat et fugiat esse minim occaecat cillum enim exercitation laboris velit nisi est enim aute. Enim do pariatur\r\n”,
“registered”:“2014-05-08T15:26:35 -08:00”,
“latitude”:48.576424,
“longitude”:146.634137,
“tags”:[
“esse”,
“proident”,
“quis”,
“consectetur”,
“magna”,
“tempor”,
“anim”
],
“friends”:[
{
“id”:0,
“name”:“Trisha Cannon”
},
{
“id”:1,
“name”:“Todd Bullock”
},
{
“id”:2,
“name”:“Eileen Drake”
},
{
“id”:3,
“name”:“Ferrell Kelly”
},
{
“id”:4,
“name”:“Fischer Blankenship”
},
{
“id”:5,
“name”:“Morales Mann”
},
{
“id”:6,
“name”:“Brandie Pittman”
},
{
“id”:7,
“name”:“Virgie Kerr”
}
],
“greeting”:“Hello, Effie Barr! You have 1 unread messages.”,
“favoriteFruit”:“apple”
},
{
“_id”:“542f9ac21c260d03e763a4f2”,
“index”:1,
“guid”:“9e3a3d8a-26f8-46b7-aca0-336a194808b1”,
“isActive”:true,
“balance”:“$3,617.89”,
“picture”:“http://placehold.it/32×32”,
“age”:31,
“eyeColor”:“brown”,
“name”:“Butler Best”,
“gender”:“male”,
“company”:“SPORTAN”,
“email”:“butlerbest@sportan.com”,
“phone”:“+1 (905) 428-3046”,
“address”:“798 Joval Court, Wanship, Delaware, 8974”,
“about”:“Nostrud occaecat id sunt pariatur ad nisi do veniam sit officia non consequat amet fugiat. Est eiusmod labore ut cillum qui eu elit ut eiusmod exercitation. Ut anim nostrud eiusmod voluptate tempor proident id do pariatur. In Lorem ullamco ea irure adipisicing. Quis est dolor ex commodo aliqua nisi elit sit elit anim fugiat sunt amet. Enim consequat ipsum occaecat ipsum tempor deserunt dolor veniam nostrud. Anim cillum ullamco cupidatat aute velit fugiat sit enim in amet anim mollit dolor eiusmod.\r\n”,
“registered”:“2014-08-02T06:15:44 -08:00”,
“latitude”:–20.529765,
“longitude”:2.396578,
“tags”:[
“consequat”,
“enim”,
“magna”,
“sunt”,
“Lorem”,
“quis”,
“commodo”
],
“friends”:[
{
“id”:0,
“name”:“Kenya Rice”
},
{
“id”:1,
“name”:“Hale Knowles”
},
{
“id”:2,
“name”:“Michael Stephens”
},
{
“id”:3,
“name”:“Holder Bailey”
},
{
“id”:4,
“name”:“Garner Luna”
},
{
“id”:5,
“name”:“Alyce Sawyer”
},
{
“id”:6,
“name”:“Rivas Owens”
},
{
“id”:7,
“name”:“Jan Petersen”
}
],
“greeting”:“Hello, Butler Best! You have 8 unread messages.”,
“favoriteFruit”:“banana”
}
]

表单 json 能达到这么长已经是很极端的情况了。因此这种方法绝对是够用的。

function encrypt_data(publickey,data)
{
if(data.length>2691){return;}// length limit
var crypt =newJSEncrypt();
crypt.setPublicKey(publickey);
crypt_res =“”;
for(var index=0; index <(data.length – data.length%117)/117+1; index++)
{
var subdata = data.substr(index *117,117);
crypt_res += crypt.encrypt(subdata);
}
return crypt_res;
}
function decrypt_data(privatekey,data)
{
var crypt =newJSEncrypt();
crypt.setPrivateKey(privatekey);
datas=data.split(‘=’);
var decrypt_res=“”;
datas.forEach(function(item)
{
if(item!=“”){de_res += crypt.decrypt(item);}
});
return decrypt_res;
}

更多详情见请继续阅读下一页的精彩内容：http://www.linuxidc.com/Linux/2014-10/107881p2.htm

首先要检查 phpinfo 里面有没有 openssl 支持

class mycrypt {
public $pubkey;
public $privkey;
function __construct(){
$this->pubkey = file_get_contents(‘./public.key’);
$this->privkey = file_get_contents(‘./private.key’);
}
publicfunction encrypt($data){
if(openssl_public_encrypt($data, $encrypted, $this->pubkey))
$data = base64_encode($encrypted);
else
thrownewException(‘Unable to encrypt data. Perhaps it is bigger than the key size?’);
return $data;
}
publicfunction decrypt($data){
if(openssl_private_decrypt(base64_decode($data), $decrypted, $this->privkey))
$data = $decrypted;
else
$data =”;
return $data;
}
}

密匙文件位置问题，是放到访问接口的附近就可以了如果是 CI 的话就放到 index.php 旁边就行了。 但是要注意一点，一定要做访问设置，不然 key 会暴出来的，那时候信息一旦截获就惨了。

$rsa =new mycrypt();
echo $rsa -> encrypt(‘abc’);
echo $rsa -> decrypt(‘W+ducpssNJlyp2XYE08wwokHfT0bm87yBz9vviZbfjAGsy/U9Ns9FIed684lWjYyyofi/1YWrU0Mp8vLOYi8l6CfklBY=’);

function encrypt_data($publickey,$data)
{
$rsa =new mycrypt();
if($publickey !=“”){
$rsa -> pubkey = $publickey;
}
$crypt_res =“”;
for($i=0;$i<((strlen($data)– strlen($data)%117)/117+1); $i++)
{
$crypt_res = $crypt_res.($rsa -> encrypt(mb_strcut($data, $i*117,117,‘utf-8’)));
}
return $crypt_res;
}
function decrypt_data($privatekey,$data)
{
$rsa =new mycrypt();
if($privatekey !=“”){// if null use default
$rsa ->privkey = $privatekey;
}
$decrypt_res =“”;
$datas = explode(‘=’,$data);
foreach($datas as $value)
{
$decrypt_res = $decrypt_res.$rsa -> decrypt($value);
}
return $decrypt_res;
}

我们经过千辛万苦经过加密终于能做到通讯安全了。当然我们的下一步是通过 JSONP 的 get 通讯来实现跨域通讯啦。经过测试：我们的 JS 中最长的 Case url 长度是 3956 在加上跨域 url callbac 参数，经过测试正好差 20 到 4095（一般的 URI 长度限制为 4K）

$.ajax({
type:“get”,
async:false,// 设置同步通讯或者异步通讯
url:“http://22500e31b5a12457.sinaapp.com/ubtamat/getPubKey?c=hknHQKIy3dyeeajyAwZ+raUkV1ezFbgU8zk+54cNQtrcEGozUjXpYhbC6fxz2hCOgp9feIsM1xKJFm5pkAGQ2UcUOc5EJNCAz6L0mXkZbTBmh3PufWxOE7TaicqRCRtZGGNB2qpm2WruXjYg1lPcrPz/rhFZx4DSJvEHkCm7ZU0=……(加密后的结果太长，省略)”,
dataType:“jsonp”,
jsonp:“”,
});

header(“Content-type: application/javascript; charset=utf-8”);
$response =“console.log(‘test response!’)”;
$callback = $this->input->GET(‘callback’);
echo $callback.$response;

PHP 代码是 CI 框架 controler 中的部分代码并且经过了必要的裁剪。更加细节的参数都放到 GET 里面就可以了。处理之后按照上面的形式处理返回值就 ok 如果你配置成功了，你将会在网页的控制台上看到自己动态的，或者像我一样静态的控制台输出。如果要是想获取数据到网页的话还是要借助 回调函数 来实现

请看下面代码：

客户端代码

varglobal=null;
function jpc(result)
{
global= result.msg;
}
$.ajax({
type:“get”,
async:false,// 设置同步通讯或者异步通讯
url:“http://22500e31b5a12457.sinaapp.com/ubtamat/getPubKey”,
dataType:“jsonp”,
jsonp:“jpc”,
});

服务器端代码

header(“Content-type: application/javascript; charset=utf-8”);
$response =“jpc({‘msg’:123456})”;
$callback = $this->input->GET(‘callback’);
echo $callback.$response;

此次通讯的结果会在 jcp 当中调用执行，并且返回的内容会记录到 global 变量当中。

AUTH：PHILO EMAIL：lijianying12 at gmail.com

基于 POST GET 的 http 通讯虽然非常成熟，但是很容易被人监听。并且如果使用跨域 jsonp 的通讯很容易在历史记录中发现通讯网址以及参数。为了克服这些问题，并且降低服务器成本，我们没有使用 SSL 而使用 RSA 加密。文章中的 php 加密解密 JS 的加密解密互相加密解密都能验证通过。

其中 PHP 依赖常见的 OPENSSL LIB。JS 依赖 jsencrypt。

我们使用 jsonp get RSA 加密通讯好处如下：

前后分离适合 cdn 加速。
安全跨域更适合松散结构的网站。
不用去买 ssl 证书了。

PHP-RSA 加密跨域通讯实战

openssl genrsa 1024>private.key
openssl rsa –inprivate.key –pubout >public.key

下载最新版本请移步到 github：jsencrypt 代码在目录 BIN 下面是否用压缩的根据情况决定。

var keySize =1024;// 加密强度
var crypt =newJSEncrypt({default_key_size: keySize});//RSA 操作对象
// 方法 1 (async)
crypt.getKey(function(){
crypt.getPrivateKey();
crypt.getPublicKey();
});
// 方法 2：
crypt.getKey();
crypt.getPrivateKey();
crypt.getPublicKey();

var crypt1 =newJSEncrypt();// 新建 rsa 对象
var publickey =‘\
—–BEGIN PUBLIC KEY—–\
MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC3N8LJFqlsa6loCgFpgZVMr/Sx\
DMQY7pr0euNQfh2g+UVPbB0MGhoc7nWL0FQhCgDedbjQw/nGFStFx7W1+0o1oRTY\
u5ebNVivZSobraUv7LJvwT8O66Zs8cxbKLqQ/nE/WwJvXomSIckH6R8iOUO8/QT9\
kv6/L0Uma3qA07pmDQIDAQAB\
—–END PUBLIC KEY—–\
‘;
crypt1.setPublicKey(publickey );// 添加来自服务端的 publickey
crypt1.encrypt(‘abc’);// 返回值为加密后的结果

var privatekey =‘—–BEGIN RSA PRIVATE KEY—–\
MIICXQIBAAKBgQC3N8LJFqlsa6loCgFpgZVMr/SxDMQY7pr0euNQfh2g+UVPbB0M\
Ghoc7nWL0FQhCgDedbjQw/nGFStFx7W1+0o1oRTYu5ebNVivZSobraUv7LJvwT8O\
66Zs8cxbKLqQ/nE/WwJvXomSIckH6R8iOUO8/QT9kv6/L0Uma3qA07pmDQIDAQAB\
AoGBAKba3UWModbfZXQeSJLxNCqWw9zJp3ydL/keQQ35DLqgyIJAD2QKEWXvtJUT\
sMo19fyicSGOmFXQyYvPCKkmpLkOMAj1XaNpSMtSrcMx+gC01PO6Ey9rsUxW1g3u\
fpqbEk9E3a5AtCS0I61nbUpRL6rqMtR5o2wcNR3TLtJt7pjxAkEA7hlFJKU1zWGp\
OvvkJDnHc2NOCEJoGjqCR9wwv96+/xAykl2laI6WvEbbhjoO0+8+d17oigjhneS5\
2UKFcfqw7wJBAMT+MCQ5TYLQlvjrBaDMqOdLsqtaDE6CpkrgwV820QMvHOo3R4Xd\
uSbrA2tOr9t2/x+FzF971lRGdPFIch9UYMMCQQCZtO6SDaWCBP3++gX57OL5dq41\
XsldxU+9nERMWTvr5UUAgDv8F7Dvsr6dFHXmE5i77yUnlzwvdi0UOIF1Z2U5AkBV\
wyRKYPgx34Ya0JcerntKV1Zt60I4XADx0G/feAn/DN/VyENHMISPQPm4GgXN0jy4\
CJQ1bcCd6B65fQTSRvXpAkA2Vv5yXzeKDls/AyxHEoros/VYftVc1HOFC++q13Rw\
NH2rnlRT8FMTFEqL9MYRqvvYAFf5VmH0M1Nx5t4LRN+l\
—–END RSA PRIVATE KEY—–\
‘;
var crypt2 =newJSEncrypt();// 新建加密对象
crypt2.setPrivateKey(privatekey);// 给加密对象设置 privatekey
crypt2.getPublicKey();//Tip 我们是不需要存储 publickey 的直接用 private 能得到 publickey
crypt2.decrypt(“MeUqWB5LwTh8crzPqbZtEtKuZxYvPWH9CTCChK1qoBzIgIXGPCdzNMbiH0cCYHl5qWSERIDOgDIgv4dXsIMjEJ5q0cp/qNQYHM5va0iw0UvKvQB1E8aWtY2nFEPy4F+ArQ0Mj/ijr/CntEP1jHKC3WU9nu2kYrBIBnbj14Bs+kI=”);// 调用解密方法

那么这种加密长度大概能容纳多少数据呢？我们借助 json-generator 来帮忙生成 JSON

sdata =[
{
“_id”:“542f9ac2359c7d881bc0298e”,
“index”:0,
“guid”:“db1dacc1-b870-4e3c-bc1a-80dfd9506610”,
“isActive”:false,
“balance”:“$1,570.15”,
“picture”:“http://placehold.it/32×32”,
“age”:36,
“eyeColor”:“blue”,
“name”:“Effie Barr”,
“gender”:“female”,
“company”:“ZORK”,
“email”:“effiebarr@zork.com”,
“phone”:“+1 (802) 574-3379”,
“address”:“951 Cortelyou Road, Wikieup, Colorado, 4694”,
“about”:“Sunt reprehenderit do laboris velit qui elit duis velit qui. Nostrud sit eiusmod cillum exercitation veniam ad sint irure cupidatat sunt consectetur magna. Amet nisi velit laboris amet officia et velit nisi nostrud ipsum. Cupidatat et fugiat esse minim occaecat cillum enim exercitation laboris velit nisi est enim aute. Enim do pariatur\r\n”,
“registered”:“2014-05-08T15:26:35 -08:00”,
“latitude”:48.576424,
“longitude”:146.634137,
“tags”:[
“esse”,
“proident”,
“quis”,
“consectetur”,
“magna”,
“tempor”,
“anim”
],
“friends”:[
{
“id”:0,
“name”:“Trisha Cannon”
},
{
“id”:1,
“name”:“Todd Bullock”
},
{
“id”:2,
“name”:“Eileen Drake”
},
{
“id”:3,
“name”:“Ferrell Kelly”
},
{
“id”:4,
“name”:“Fischer Blankenship”
},
{
“id”:5,
“name”:“Morales Mann”
},
{
“id”:6,
“name”:“Brandie Pittman”
},
{
“id”:7,
“name”:“Virgie Kerr”
}
],
“greeting”:“Hello, Effie Barr! You have 1 unread messages.”,
“favoriteFruit”:“apple”
},
{
“_id”:“542f9ac21c260d03e763a4f2”,
“index”:1,
“guid”:“9e3a3d8a-26f8-46b7-aca0-336a194808b1”,
“isActive”:true,
“balance”:“$3,617.89”,
“picture”:“http://placehold.it/32×32”,
“age”:31,
“eyeColor”:“brown”,
“name”:“Butler Best”,
“gender”:“male”,
“company”:“SPORTAN”,
“email”:“butlerbest@sportan.com”,
“phone”:“+1 (905) 428-3046”,
“address”:“798 Joval Court, Wanship, Delaware, 8974”,
“about”:“Nostrud occaecat id sunt pariatur ad nisi do veniam sit officia non consequat amet fugiat. Est eiusmod labore ut cillum qui eu elit ut eiusmod exercitation. Ut anim nostrud eiusmod voluptate tempor proident id do pariatur. In Lorem ullamco ea irure adipisicing. Quis est dolor ex commodo aliqua nisi elit sit elit anim fugiat sunt amet. Enim consequat ipsum occaecat ipsum tempor deserunt dolor veniam nostrud. Anim cillum ullamco cupidatat aute velit fugiat sit enim in amet anim mollit dolor eiusmod.\r\n”,
“registered”:“2014-08-02T06:15:44 -08:00”,
“latitude”:–20.529765,
“longitude”:2.396578,
“tags”:[
“consequat”,
“enim”,
“magna”,
“sunt”,
“Lorem”,
“quis”,
“commodo”
],
“friends”:[
{
“id”:0,
“name”:“Kenya Rice”
},
{
“id”:1,
“name”:“Hale Knowles”
},
{
“id”:2,
“name”:“Michael Stephens”
},
{
“id”:3,
“name”:“Holder Bailey”
},
{
“id”:4,
“name”:“Garner Luna”
},
{
“id”:5,
“name”:“Alyce Sawyer”
},
{
“id”:6,
“name”:“Rivas Owens”
},
{
“id”:7,
“name”:“Jan Petersen”
}
],
“greeting”:“Hello, Butler Best! You have 8 unread messages.”,
“favoriteFruit”:“banana”
}
]

表单 json 能达到这么长已经是很极端的情况了。因此这种方法绝对是够用的。

function encrypt_data(publickey,data)
{
if(data.length>2691){return;}// length limit
var crypt =newJSEncrypt();
crypt.setPublicKey(publickey);
crypt_res =“”;
for(var index=0; index <(data.length – data.length%117)/117+1; index++)
{
var subdata = data.substr(index *117,117);
crypt_res += crypt.encrypt(subdata);
}
return crypt_res;
}
function decrypt_data(privatekey,data)
{
var crypt =newJSEncrypt();
crypt.setPrivateKey(privatekey);
datas=data.split(‘=’);
var decrypt_res=“”;
datas.forEach(function(item)
{
if(item!=“”){de_res += crypt.decrypt(item);}
});
return decrypt_res;
}

更多详情见请继续阅读下一页的精彩内容：http://www.linuxidc.com/Linux/2014-10/107881p2.htm

从上文中，我们已经找到了整个加密过程方法了，但是距离实战还是有一定距离的。首先我们实战的话需要克服接口比较少，功能比较多，单个接口维护用时比较长的问题。

为了解决上面的问题我们做出如下设计。

设计一个通讯类：只管跟服务器通讯。别的业务什么都不管。

//create connection object.
varConnServ=newObject();
ConnServ.tmpResponse =“not initial”;
//call back function register slot.
ConnServ.CallBackFunction=function(){console.log(
“call back function set error ! U must set a business call back function!”
)};
//input only encrypted data!!!
//send data to server
ConnServ.send=function(data)
{
data = data.replace(/\+/g,“$”);//replace all + as $
$.ajax({
type:“get”,
async:false,
url:“http://22500e317.sinaapp.com/ubtamat?c=”+data,
dataType:“jsonp”,
jsonp:“jpc”
});
return“Send Finish”;
}
//default call back funcation
function jpc(res)
{
ConnServ.tmpResponse = res.msg;
ConnServ.CallBackFunction();
}
//public key store.
ConnServ.getpublickey =function()
{
return“\-“+
“—-BEGIN PUBLIC KEY—– “+
……………………………………………
“—–END PUBLIC KEY—–“;
}

在上面代码中请注意，RSA 加密过后的字符串当中有一个非法字符 + 要转换成其他合法字符发送到服务器才可以。不然参数会错误。等传输到服务器中自己转换回来在解密就好了。

首先我们接收到消息之后要对消息进行解密，之后根据报文内容选择服务器上的功能。然后把其他参数输入到业务类中执行即可。因此我们使用了命令模式来实现单一接口的丰富业务功能。其他的我们需要对 CI 框架的配置进行调整：首先 global config 里面需要调整 $config[‘global_xss_filtering’] = FALSE; 因为如果传输过来的报文解密不了就直接抛弃不进行处理（防止 CC 攻击第一层）这样就从 url 上防止了攻击的可能性。当然我们还是没有完全避免注入风险这时我们就需要在业务类里面调用安全模块：

$this->security->xss_clean()

来实现第二层的 XSS 攻击。这是服务器端设计主要需要说的位置。

从 get 接口获得参数 c 的加密数据
对数据进行 RSA 解密。
判断数据包时间戳。如果超时直接抛弃（防止从浏览器记录中直接发送 request 到服务器，下面是安全方面的说明）
- 首先如果不修改数据只修改时间戳不可能从截获的数据报文中实现，因为需要重新加密，如果想得到内容需要服务器上的 privatekey 解密保证安全
- 如果数据包截获直接发送数据包在超时范围内直接获取数据包内容，也不能实现攻击，因为在客户端有临时 RSA 密匙对生成并且在发送的时候会同时发送 publickey 给服务器做 session 的存储内容并且伪装客户的客户端没有 privatekey 所以获取任何关于登陆之后的消息根本无法解析。
对解密后的数据进行 xss 检查
解析报文中需要调用什么功能直接调用反射得到业务类的实例
调度业务类，并且把得到的参数赋值给业务执行函数的参数。

业务处理完成之后针对每一个用户的登陆情况对返回值进行加密。
response

//CI 控制器里面的方法
publicfunction index()
{
header(“Content-Type: text/html;charset=UTF-8”);
$callback = $this -> input->GET(‘callback’);
$input_data = str_replace(“$”,“+”,$this->input->GET(‘c’));
$input_data =$this -> rsa->decrypt_data($input_data);
if($input_data ==“”){return;}// 如果数据不对解析就会失败，直接抛弃数据包，避免 cracker 构造数据包问题
// 这里插入时间戳检查代码
// 这插入 xss 检查
$output_data = command($input_data);
$response =“jpc({‘msg’:”.$output_data.“})”;
$callback = $this->input->GET(‘callback’);
echo $callback.$response;
}

// 命令模式中的业务调度方法
function command($input)
{
try
{
$obj_input = json_decode($input);
$action = $obj_input ->{“action”};
$business_action =newReflectionClass($action);
$instance = $business_action->newInstanceArgs();
$output = $instance->Action($obj_input);
// 对 output 变量进行 rsa 加密
return“‘”.$output.“‘”;// here only accept string
}
catch(Exception $e)
{
return“‘”.$e->getMessage().“‘”;
}
}

// 命令接口定义
interfaceICommand{
functionAction($arg_obj);
}
// 把此函数放到 system/core/common.php
// 实现了输入一个文件夹就自动加载所有文件夹中的所有的类。
if(! function_exists(‘require_once_dir’))
{
function require_once_dir($path)
{
$dir_list = scandir($path);
foreach($dir_list as $file)
{
if( $file !=“..”&& $file !=“.”)
{
require_once($path.“/”.$file);
}
}
}
}
// 使用：
// 在 application/config/autoload.php 中添加类似如下代码：
require_once_dir(APPPATH.“/controllers/lib”);
require_once_dir(APPPATH.“/controllers/actions”);

classregisterimplementsICommand{
publicfunctionAction($arg_obj)
{
return“we are do nothing: “.json_encode($arg_obj);
}
}

通过以上基本方法，我们可以实现，只要业务继承我们声明的接口就可以开始写业务了。别的什么都不用管，专注于业务即可，其他的安全、IO 等问题都已经一并解决。并且每一个业务都进行了 rsa 加密 xss 攻击过滤伪造数据包攻击。以及在 response 加密只能是固定客户端才能看到报文内容的全过程。但是一定要注意一点，注册这个业务后面要嵌套登陆进行，不然看不到返回值。

acton（业务名）
req_time (请求时间)
public_key (如果是注册跟登陆时候需要提交临时公匙)

因为时间仓促所以只能写到这里了。如果您发现了我文章中的 bug 欢迎发 email 批评指正。非常感谢！同时本方案也会成为我们开源社区 linux52.com 后台系统中的接口设计方案。当然我们社区所有维护的文档都会进行反复验证，如果出问题我们会及时更新。以维护文档的正确性。点击 = 这 = 里 = 查看文档最新版本。

php js rsa get jsonp 跨域安全

正文完

星哥玩云-微信公众号