@wanguorui123

参见 18 楼。

如 http://domain/path?order_id=x&sign=n 。是的没错，这个请求无法被篡改。

我可以直接不停的直接请求，这就是重放攻击对吧？那就单单是『签名』是怎么防止重放攻击的呢？难道不是 API 的露酒设计来检测 order_id 的请求次数么？或者 sign 的请求次数么？无论是否是签名都需要做这一步啊？

@ferock 比如？

@skull 对方不是服务端能怎样呢？

@crab Pinned Pub Key 还怎么中间人呢？防止客户的什么呢？

@Vegetable 签名机制完全没必要，安全及重放等攻击的防止是靠接口逻辑设计的，不是靠签名的。

@kejialiu

即便没有 nonce 。如 http://domain/path?order_id=x&sign=n 。是的没错，这个请求无法被篡改，但是我依然可以肆无忌惮的发起查询啊。

而且肯定是要有一个『某 ID 』的参数吧？如商户 ID 、用户 ID 等标记唯一应用的参数吧。那也就是说，只是某一个『用户』或『应用』能构造针对特性对象『 order_id=x 』的请求。

那相应的，HTTPS 的话直接作为 Authentication Header 参数放进来一样的哇。

@kejialiu

一次性的根本原因是因为有 nonce 。以此为目的达到防 Replay Attack 。

但是究其根本，HTTPS 本身被抓到已有也是个无法篡改的普通 TCP 数据包。重放攻击也只能将这个数据包无数次发送给对方服务器。也就是说，只要在普通的请求参数中加入任意一个具备 nonce 特性的参数如 timestamp，那这个数据包依然可以被直接拦截。

同时，如果说 HTTPS 不用构造直接可以无限次任意请求的话，签名模式难道就不是吗?

:doge:

@wooyuntest 找密钥吧。这是客户端场景了，即便如此，仅使用 HTTPS 直接传递 ukey 的话也得逆向啊。
HOOK 方案的话无论任何方案都没辙吧。

@ihipop 不是老系统改造，是新系统

@ihipop 还好吧，客户端证书在网关直接验证好的，到后面的 HTTP 业务的时候直接带着 https_s|c_xx 的 header 头的哇而且还伪造不了

@des

1 理解
2 网关统一 HTTPS 不是更简单了么都不用再配置啥
3 emmmm 理解

@xmumiffy 国内大厂是出于什么样的考量呢？

@screen 如果 SSLPinning 无效的话，那客户端用『签名』也一样能截取啊

hhh

同问为啥不用 dnf 呢。 无网环境么

小规模集群 docker swarm 可以一战

硬盘允许的话搞个单机的时序数据库哇。