如何加密和解密查询我在 URL 中的查询参数？

Question

在我的系统中，我生成带有表示 ID 的查询参数的 URL。 我想加密这些 ID，以便它们不会在 URL 中被简单地操纵。 这些将是面向公众的 URL，我不希望用户能够操纵 URL 并能够获取其他用户的数据，所以我想加密这些 ID。

我将在 Java 应用程序中加密 ID，然后在 Javascript 应用程序中解密它们。 我可以在这两个地方使用一些通用的加密算法吗？ 是否有可用的库可以在 Java 和 Javascript 中执行此类操作？

我意识到我的应用程序都需要访问一个通用的“密码”或解密密钥，我将把它存储在两个应用程序都可以访问的密钥库位置。

Answer 1

IMO 你应该自己生成一个公钥/私钥（OpenSSL，Java keytool ...）。

1. 使用 javascript 用公钥加密你的数据

• https://code.google.com/archive/p/crypto-js/downloads
• https://nodejs.org/api/crypto.html

2. 在服务器端 - Java，您可以使用私钥解密您的数据以执行您的业务行为。 有很多示例/库可以通过私钥解密，例如

• https://www.devglan.com/java8/rsa-encryption-decryption-java
• https://gist.github.com/fanglijun/a0d1218c9ef0b0670904e62778f6ed12

您应该阅读 RSA 算法如何了解更多它是如何工作的。 基本上你需要用你的公钥（前端部分）加密数据并用你的私钥解密（后端部分）。

不推荐：如果您仍然想通过 javascript 在前端解密，这意味着您必须公开您的私钥，以便 javascript 可以读取解密。 技术上没问题，但可能有安全问题

另一种解决方案：

• 您可以将 (Id, secret_data.....) 等数据加密为加密字符串，然后将该字符串作为 URL 的参数发送（在服务器端生成）
• 当最终用户单击该 URL 时，您将通过私钥（服务器端）解密参数以获取实际数据（Id、secret_data...）

Answer 2

除非您的值实际上需要保密，否则请使用 HMAC。 通过这种方式，您可以验证所提供的 url 未被篡改，而无需实际共享密钥或要求客户端自行解密数据。

只需为您想要的临界值生成一个 hmac 并将该值附加到 url。 当他们用户访问特定路径时，读取 url 并将其与 hmac 进行比较。

url = 'http://my.site/users/123
signature = hmac(secret_key, url);
signed_url = url.addQueryValue('s', signature);

在途中，查看签名并验证它是否与重新生成的 hmac 匹配。

您可以做的其他事情是在签名后附加声明，例如到期等。 声明可用于跟踪访问，以及在一段时间后撤销对 url 的访问。