請(qǐng)問“接口服務(wù)器”、“應(yīng)用服務(wù)器” 、“數(shù)據(jù)庫服務(wù)器”分別是指什么意思？

數(shù)據(jù)庫：存儲(chǔ)數(shù)據(jù)的應(yīng)用軟件。

創(chuàng)新互聯(lián)公司自成立以來，一直致力于為企業(yè)提供從網(wǎng)站策劃、網(wǎng)站設(shè)計(jì)、網(wǎng)站設(shè)計(jì)制作、成都做網(wǎng)站、電子商務(wù)、網(wǎng)站推廣、網(wǎng)站優(yōu)化到為企業(yè)提供個(gè)性化軟件開發(fā)等基于互聯(lián)網(wǎng)的全面整合營銷服務(wù)。公司擁有豐富的網(wǎng)站建設(shè)和互聯(lián)網(wǎng)應(yīng)用系統(tǒng)開發(fā)管理經(jīng)驗(yàn)、成熟的應(yīng)用系統(tǒng)解決方案、優(yōu)秀的網(wǎng)站開發(fā)工程師團(tuán)隊(duì)及專業(yè)的網(wǎng)站設(shè)計(jì)師團(tuán)隊(duì)。

服務(wù)器：公共的服務(wù)庫。

應(yīng)用服務(wù)器是應(yīng)用的服務(wù)器，提供應(yīng)用服務(wù)，也可以是自己的網(wǎng)絡(luò)應(yīng)用服務(wù)器，接口服務(wù)器是提供給第三方調(diào)用的服務(wù)，主要是為了自己的應(yīng)用的安全性，所以只把能供給第三方調(diào)用的東西封裝在應(yīng)用服務(wù)器服務(wù)器。

根據(jù)應(yīng)用環(huán)境的不同，需要的數(shù)據(jù)庫服務(wù)器也不同，一般來說，如果數(shù)據(jù)庫服務(wù)器需要連接的客戶端多、并且是不同權(quán)限組的客戶端的話需要網(wǎng)絡(luò)接口比較多的，除此之外，數(shù)據(jù)庫服務(wù)器的處理器性能要求比較高，因?yàn)槠湟M(jìn)行頻繁的操作，內(nèi)存要求大，加快數(shù)據(jù)存取速度。

應(yīng)用服務(wù)器相對(duì)而言要求低一些，如果是FTP服務(wù)器的話網(wǎng)卡的速率要求要高，起碼是千兆的，網(wǎng)頁服務(wù)器對(duì)于網(wǎng)卡的速率也同樣有較高的要求，但對(duì)于處理器性能要求就不那么高了。

應(yīng)用程序服務(wù)器是為應(yīng)用程序提供業(yè)務(wù)邏輯的。它是基于組件的，位于以服務(wù)器為中心的架構(gòu)的中間件。

這個(gè)架構(gòu)通常是一個(gè)主要的基于Web的界面。中間件是業(yè)務(wù)邏輯所在的應(yīng)用服務(wù)器。而第三層，后端是負(fù)責(zé)數(shù)據(jù)庫的服務(wù)器。應(yīng)用程序服務(wù)器充當(dāng)用戶和數(shù)據(jù)庫之間的交互。

應(yīng)用服務(wù)器通過各種協(xié)議向客戶端應(yīng)用程序打開業(yè)務(wù)邏輯。它還可以包括計(jì)算機(jī)，web服務(wù)器或其他應(yīng)用服務(wù)器上的圖形用戶界面。業(yè)務(wù)邏輯通過組件API。它還管理自己的資源以及執(zhí)行安全性，事務(wù)處理，資源和連接池以及消息傳遞。

對(duì)于高端要求，應(yīng)用服務(wù)器往往具有高可用性監(jiān)控，集群，負(fù)載平衡，集成冗余和高性能分布式應(yīng)用服務(wù)，并支持復(fù)雜的數(shù)據(jù)庫訪問。

當(dāng)需要與現(xiàn)有數(shù)據(jù)庫和服務(wù)器（如Web服務(wù)器）集成時(shí)，應(yīng)使用應(yīng)用程序服務(wù)器，可以通過啟用集中式方法來提供應(yīng)用程序更新和升級(jí)來提供數(shù)據(jù)和代碼的完整性。

可伸縮性是使用應(yīng)用服務(wù)器的另一個(gè)原因和好處。應(yīng)用程序服務(wù)器可以與數(shù)據(jù)庫連接。這意味著企業(yè)可以擴(kuò)展Web服務(wù)器群，而不需要增加數(shù)據(jù)庫連接的數(shù)量。

從網(wǎng)頁到數(shù)據(jù)庫的直接鏈接如果暴露，可導(dǎo)致SQL注入攻擊基礎(chǔ)架構(gòu)。

通過單獨(dú)的數(shù)據(jù)訪問層執(zhí)行數(shù)據(jù)驗(yàn)證和／或顯示業(yè)務(wù)邏輯，可以確保以Web表單輸入的文本不被用作SQL調(diào)用。通過集中身份驗(yàn)證過程以及數(shù)據(jù)訪問管理，還可以提高安全性。

應(yīng)用程序服務(wù)器與Web服務(wù)器不同，因?yàn)榍罢咄ㄟ^多種協(xié)議處理向應(yīng)用程序提供業(yè)務(wù)邏輯，而Web服務(wù)器響應(yīng)并處理HTTP請(qǐng)求；托管一個(gè)網(wǎng)站并存儲(chǔ)靜態(tài)內(nèi)容，如圖像，CSS，JavaScript和HTML頁面。

雖然Web服務(wù)器可能不支持事務(wù)或數(shù)據(jù)庫連接，但可能具有容錯(cuò)和可擴(kuò)展性功能，如負(fù)載平衡，緩存和集群。

與數(shù)據(jù)庫服務(wù)器不同，因?yàn)樵摲?wù)器執(zhí)行諸如數(shù)據(jù)分析，存儲(chǔ)，數(shù)據(jù)處理，歸檔以及其他數(shù)據(jù)管理相關(guān)任務(wù)之類的任務(wù)。

數(shù)據(jù)庫服務(wù)器使用諸如ODBC，JDBC等協(xié)議。他們還將托管數(shù)據(jù)庫，如Oracle，SQLServer，MySQL等。

擴(kuò)展資料：

服務(wù)器是計(jì)算機(jī)局域網(wǎng)的核心部件。網(wǎng)絡(luò)操作系統(tǒng)是在網(wǎng)絡(luò)服務(wù)器上運(yùn)行的，網(wǎng)絡(luò)服務(wù)器的效率直接影響整個(gè)網(wǎng)絡(luò)的效率。

因此，一般要用高檔計(jì)算機(jī)或?qū)Ｓ梅?wù)器計(jì)算機(jī)作為網(wǎng)絡(luò)服務(wù)器。網(wǎng)絡(luò)服務(wù)器主要有以下4個(gè)作用：

運(yùn)行網(wǎng)絡(luò)操作系統(tǒng)，控制和協(xié)調(diào)網(wǎng)絡(luò)中各計(jì)算機(jī)之間的工作，最大限度地滿足用戶的要求，并做出響應(yīng)和處理。

存儲(chǔ)和管理網(wǎng)絡(luò)中的共享資源，如數(shù)據(jù)庫、文件、應(yīng)用程序、磁盤空間、打印機(jī)、繪圖儀等。

·為各工作站的應(yīng)用程序服務(wù)，如采用客戶／服務(wù)器（Client／Server）結(jié)構(gòu)使網(wǎng)絡(luò)服務(wù)器不僅擔(dān)當(dāng)網(wǎng)絡(luò)服務(wù)器，而且還擔(dān)當(dāng)應(yīng)用程序服務(wù)器。

對(duì)網(wǎng)絡(luò)活動(dòng)進(jìn)行監(jiān)督及控制，對(duì)網(wǎng)絡(luò)進(jìn)行實(shí)際管理，分配系統(tǒng)資源，了解和調(diào)整系統(tǒng)運(yùn)行狀態(tài)，關(guān)閉或啟動(dòng)某些資源等。

參考資料：百度百科-網(wǎng)絡(luò)服務(wù)器

保障接口安全的5種常見方式

一般有五種方式：

1、Token授權(quán)認(rèn)證，防止未授權(quán)用戶獲取數(shù)據(jù)；

2、時(shí)間戳超時(shí)機(jī)制；

3、URL簽名，防止請(qǐng)求參數(shù)被篡改；

4、防重放，防止接口被第二次請(qǐng)求，防采集；

5、采用HTTPS通信協(xié)議，防止數(shù)據(jù)明文傳輸；

所有的安全措施都用上的話有時(shí)候難免太過復(fù)雜，在實(shí)際項(xiàng)目中需要根據(jù)自身情況作出取舍，比如可以只使用簽名機(jī)制就可以保證信息不會(huì)被篡改，或者定向提供服務(wù)的時(shí)候只用Token機(jī)制就可以了，如何取舍，全看項(xiàng)目實(shí)際情況和對(duì)接口安全性的要求。

HTTP協(xié)議是無狀態(tài)的，一次請(qǐng)求結(jié)束，連接斷開，下次服務(wù)器再收到請(qǐng)求，它就不知道這個(gè)請(qǐng)求是哪個(gè)用戶發(fā)過來的，但是對(duì)我們有權(quán)限訪問限制的模塊而言，它是需要有狀態(tài)管理的，以便服務(wù)端能夠準(zhǔn)確的知道HTTP請(qǐng)求是哪個(gè)用戶發(fā)起的，從而判斷他是否有權(quán)限繼續(xù)這個(gè)請(qǐng)求。

Token的設(shè)計(jì)方案是用戶在客戶端使用用戶名和密碼登錄后，服務(wù)器會(huì)給客戶端返回一個(gè)Token，并將Token以鍵值對(duì)的形式存放在緩存（一般是Redis）中，后續(xù)客戶端對(duì)需要授權(quán)模塊的所有操作都要帶上這個(gè)Token，服務(wù)器端接收到請(qǐng)求后進(jìn)行Token驗(yàn)證，如果Token存在，說明是授權(quán)的請(qǐng)求。

Token生成的設(shè)計(jì)要求：

1、應(yīng)用內(nèi)一定要唯一，否則會(huì)出現(xiàn)授權(quán)混亂，A用戶看到了B用戶的數(shù)據(jù)；

2、每次生成的Token一定要不一樣，防止被記錄，授權(quán)永久有效；

3、一般Token對(duì)應(yīng)的是Redis的key，value存放的是這個(gè)用戶相關(guān)緩存信息，比如：用戶的id；

4、要設(shè)置Token的過期時(shí)間，過期后需要客戶端重新登錄，獲取新的Token，如果Token有效期設(shè)置較短，會(huì)反復(fù)需要用戶登錄，體驗(yàn)比較差，我們一般采用Token過期后，客戶端靜默登錄的方式，當(dāng)客戶端收到Token過期后，客戶端用本地保存的用戶名和密碼在后臺(tái)靜默登錄來獲取新的Token，還有一種是單獨(dú)出一個(gè)刷新Token的接口，但是一定要注意刷新機(jī)制和安全問題；

根據(jù)上面的設(shè)計(jì)方案要求，我們很容易得到Token=md5(用戶ID+登錄的時(shí)間戳+服務(wù)器端秘鑰)這種方式來獲得Token，因?yàn)橛脩鬒D是應(yīng)用內(nèi)唯一的，登錄的時(shí)間戳保證每次登錄的時(shí)候都不一樣，服務(wù)器端秘鑰是配置在服務(wù)器端參與加密的字符串（即：鹽），目的是提高Token加密的破解難度，注意一定不要泄漏；

客戶端每次請(qǐng)求接口都帶上當(dāng)前時(shí)間的時(shí)間戳timestamp，服務(wù)端接收到timestamp后跟當(dāng)前時(shí)間進(jìn)行比對(duì)，如果時(shí)間差大于一定時(shí)間（比如：1分鐘），則認(rèn)為該請(qǐng)求失效。時(shí)間戳超時(shí)機(jī)制是防御DOS攻擊的有效手段。

寫過支付寶或微信支付對(duì)接的同學(xué)肯定對(duì)URL簽名不陌生，我們只需要將原本發(fā)送給server端的明文參數(shù)做一下簽名，然后在server端用相同的算法再做一次簽名，對(duì)比兩次簽名就可以確保對(duì)應(yīng)明文的參數(shù)有沒有被中間人篡改過。

簽名算法：

1、首先對(duì)通信的參數(shù)按key進(jìn)行字母排序放入數(shù)組中（一般請(qǐng)求的接口地址也要參與排序和簽名，那么需要額外添加url= 這個(gè)參數(shù)）；

2、對(duì)排序完的數(shù)組鍵值對(duì)用進(jìn)行連接，形成用于加密的參數(shù)字符串；

3、在加密的參數(shù)字符串前面或者后面加上私鑰，然后用md5進(jìn)行加密，得到sign，然后隨著請(qǐng)求接口一起傳給服務(wù)器。

注意： 對(duì)于客戶端的私鑰一定要妥善處理好，不能被非法者拿到，如果針對(duì)于H5的項(xiàng)目，H5保存私鑰是個(gè)問題，目前沒有更好的方法，也是一致困擾我的問題，如果大家有更好的方法可以留言一起探討。

客戶端第一次訪問時(shí)，將簽名sign存放到服務(wù)器的Redis中，超時(shí)時(shí)間設(shè)定為跟時(shí)間戳的超時(shí)時(shí)間一致，二者時(shí)間一致可以保證無論在timestamp限定時(shí)間內(nèi)還是外 URL都只能訪問一次，如果被非法者截獲，使用同一個(gè)URL再次訪問，如果發(fā)現(xiàn)緩存服務(wù)器中已經(jīng)存在了本次簽名，則拒絕服務(wù)。如果在緩存中的簽名失效的情況下，有人使用同一個(gè)URL再次訪問，則會(huì)被時(shí)間戳超時(shí)機(jī)制攔截，這就是為什么要求sign的超時(shí)時(shí)間要設(shè)定為跟時(shí)間戳的超時(shí)時(shí)間一致。拒絕重復(fù)調(diào)用機(jī)制確保URL被別人截獲了也無法使用（如抓取數(shù)據(jù)）。

方案流程：

1、客戶端通過用戶名密碼登錄服務(wù)器并獲取Token；

2、客戶端生成時(shí)間戳timestamp，并將timestamp作為其中一個(gè)參數(shù)；

3、客戶端將所有的參數(shù)，包括Token和timestamp按照自己的簽名算法進(jìn)行排序加密得到簽名sign

4、將token、timestamp和sign作為請(qǐng)求時(shí)必須攜帶的參數(shù)加在每個(gè)請(qǐng)求的URL后邊

5、服務(wù)端對(duì)token、timestamp和sign進(jìn)行驗(yàn)證，只有在token有效、timestamp未超時(shí)、緩存服務(wù)器中不存在sign三種情況同時(shí)滿足，本次請(qǐng)求才有效；

眾所周知HTTP協(xié)議是以明文方式發(fā)送內(nèi)容，不提供任何方式的數(shù)據(jù)加密，如果攻擊者截取了客戶端和服務(wù)器之間的傳輸報(bào)文，就可以直接讀懂其中的信息，因此HTTP協(xié)議不適合傳輸一些敏感信息，比如信用卡號(hào)、密碼等。

為了解決HTTP協(xié)議的這一缺陷，需要使用另一種協(xié)議：安全套接字層超文本傳輸協(xié)議HTTPS，為了數(shù)據(jù)傳輸?shù)陌踩琀TTPS在HTTP的基礎(chǔ)上加入了SSL協(xié)議，SSL依靠證書來驗(yàn)證服務(wù)器的身份，并為客戶端和服務(wù)器之間的通信加密。

HTTPS也不是絕對(duì)安全的，如下圖所示為中間人劫持攻擊，中間人可以獲取到客戶端與服務(wù)器之間所有的通信內(nèi)容。

中間人截取客戶端發(fā)送給服務(wù)器的請(qǐng)求，然后偽裝成客戶端與服務(wù)器進(jìn)行通信；將服務(wù)器返回給客戶端的內(nèi)容發(fā)送給客戶端，偽裝成服務(wù)器與客戶端進(jìn)行通信。 通過這樣的手段，便可以獲取客戶端和服務(wù)器之間通信的所有內(nèi)容。 使用中間人攻擊手段，必須要讓客戶端信任中間人的證書，如果客戶端不信任，則這種攻擊手段也無法發(fā)揮作用。

針對(duì)安全性要求一般的app，可采用通過校驗(yàn)域名，證書有效性、證書關(guān)鍵信息及證書鏈的方式。

以上說的更多是設(shè)計(jì)階段的思路，如果API已經(jīng)在運(yùn)行的話，我們則需要通過其他方式，如API網(wǎng)關(guān)工具來保護(hù)我們的API，這里推薦的是Eolinker，對(duì)于上述的5個(gè)方面，都有對(duì)應(yīng)的功能做到保護(hù)API，可以自己部署開源版本試用一下：

你開放的API接口真的安全嗎

你開放的接口真的就很安全嗎，看看有沒有做到如下幾點(diǎn)

1.請(qǐng)求身份驗(yàn)證

2.請(qǐng)求參數(shù)校驗(yàn)

3.請(qǐng)求是否唯一

4.請(qǐng)求次數(shù)限制

請(qǐng)求身份驗(yàn)證

基于 AccessKey：為接口調(diào)用放分配AccessKey和SecretKey（不參與傳輸，只用于本地接口加密，不能泄露）

基于token身份驗(yàn)證：

1.用戶登錄提供認(rèn)證信息（如：賬號(hào)密碼）服務(wù)器驗(yàn)證成功后將用戶信息保存到token內(nèi)并設(shè)置有效期，再返回token給調(diào)用方

2.調(diào)用方保存token，并在有效期內(nèi)重新?lián)Q取token，保證token是有效的

3.服務(wù)器驗(yàn)證token有效性，無效則攔截請(qǐng)求返回錯(cuò)誤信息，反之則從token內(nèi)獲取用戶信息進(jìn)行后續(xù)操作

請(qǐng)求參數(shù)校驗(yàn)

1.校驗(yàn)參數(shù)合理性（如：參數(shù)類型，參數(shù)長度，參數(shù)值校驗(yàn)）

2.防止XSS，SQL注入（解決方案：過濾敏感字符或直接返回錯(cuò)誤信息）

3.校驗(yàn)參數(shù)可靠性是否被篡改（可以將參數(shù)以特定格式排列+秘鑰組成字符串，在進(jìn)行MD5或SHA簽名）

請(qǐng)求是否唯一

前面第3點(diǎn)解決了請(qǐng)求參數(shù)被篡改的隱患，但是還存在著重復(fù)使用請(qǐng)求參數(shù)偽造二次請(qǐng)求的隱患

timestamp+nonce方案

nonce指唯一的隨機(jī)字符串 ，用來標(biāo)識(shí)每個(gè)被簽名的請(qǐng)求。通過為每個(gè)請(qǐng)求提供一個(gè)唯一的標(biāo)識(shí)符，服務(wù)器能夠防止請(qǐng)求被多次使用（記錄所有用過的nonce以阻止它們被二次使用）。

然而，對(duì)服務(wù)器來說永久存儲(chǔ)所有接收到的nonce的代價(jià)是非常大的。可以使用timestamp來優(yōu)化nonce的存儲(chǔ) 。

假設(shè)允許客戶端和服務(wù)端最多能存在15分鐘的時(shí)間差，同時(shí)追蹤記錄在服務(wù)端的nonce集合。當(dāng)有新的請(qǐng)求進(jìn)入時(shí)，首先檢查攜帶的timestamp是否在15分鐘內(nèi)，如超出時(shí)間范圍，則拒絕，然后查詢攜帶的nonce，如存在已有集合，則拒絕。否則，記錄該nonce，并刪除集合內(nèi)時(shí)間戳大于15分鐘的nonce（可以使用redis的expire，新增nonce的同時(shí)設(shè)置它的超時(shí)失效時(shí)間為15分鐘）。

請(qǐng)求次數(shù)限制

某些資源我們需要限制用戶的請(qǐng)求次數(shù)，同時(shí)也為了防止非人為操作可能導(dǎo)致系統(tǒng)的崩潰

實(shí)現(xiàn)思路如下：

假如我們?cè)试S用戶每秒鐘最多10次請(qǐng)求，超過10次則返回“手速太快了，慢點(diǎn)把。。”

這里我們使用redis輔助我們實(shí)現(xiàn)：

以用戶IP為key，請(qǐng)求次數(shù)為value，有效時(shí)間為1秒

用戶在每秒的第一次訪問的時(shí)候，此時(shí)我們的redis是沒有key為用戶ip的數(shù)據(jù)的（因?yàn)槭Я耍蛘叩谝淮握?qǐng)求）所以我們要初始化當(dāng)前請(qǐng)求用戶的ip為keyvalue為0到redis數(shù)據(jù)庫

當(dāng)用戶在1s內(nèi)再次發(fā)起請(qǐng)求我們就將此ip的請(qǐng)求次數(shù)+1，并判斷請(qǐng)求次數(shù)是否已近=10

=10則返回給用戶手速太快了!請(qǐng)稍后重試..否則繼續(xù)執(zhí)行后續(xù)操作

具體實(shí)現(xiàn)代碼如下：

如有疑問可在下方留言，我會(huì)盡快答復(fù)，或者關(guān)注公眾號(hào) 程序員MuziDong 隨時(shí)了解新的動(dòng)態(tài)

當(dāng)前標(biāo)題：接口服務(wù)器是安全防護(hù)嗎 接口服務(wù)器搭建和使用
地址分享：http://vcdvsql.cn/article36/ddoicpg.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供定制網(wǎng)站、網(wǎng)站收錄、網(wǎng)站建設(shè)、網(wǎng)站導(dǎo)航、定制開發(fā)、動(dòng)態(tài)網(wǎng)站

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場，如需處理請(qǐng)聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來源： 創(chuàng)新互聯(lián)