拒绝 API 在公网裸奔之实现过程

[jss]

（先忽略 Https ）不想让 API 数据在公网中裸奔于是查了一些方案，比如：jwt des aes rsa 等，最终组合一个理想解决方案：Rsa+Aes; 客户端生成 Aes 密钥 将请求参数进行 Aes 加密,然后，Aes 密钥通过 Rsa 加密一并提交给服务器，服务器通过 Rsa 解密获得 Aes 密钥，进行 Aes 参数解密处理，最后通过解密后的 Aes 密钥加密返回给客户端，实现，公网传输加密。

[xuanbg]

@chinvo 不一样，HTTPS 使用的是 SSL 隧道，他这个是一次性密钥加密。效果一样，但开销比较大，每次都要用 RSA 加密和解密。

[zwh2698]

你的安全性不如 https，这种安全设计没法拿出手，即便模拟，建议先看看 https 握手都干了啥，为啥要 pre/master key, 等机制。建议不要自己造安全性不高的轮子，会让自己陷入误区的。检验思考的全面性要借助工具 STRIDE 模型。