序： 刚来第一天环境刚搞好，svn刚装完，账号都还没有，员工手册还没有学习完，就被要求开始撸代码。还好同事之间沟通狠顺畅，直接可以找到人问东西。 今天主要比较紧急的待修复项： 1.验证码只能使用一次的问题 2.登录/修改密码过程中数据传输简单的decode不满足安全性要求 首先说下这边的验证码是怎么生成的。一般我们已说到验证码只能用一次想到的肯定是利用redis存储生成的验证码，设置时效性。但是这里生成验证码用的是一个组件kaptcha，这个组件的核心思路就是生成了验证码放session里，没有设置有效时长这个说法。此外异步校验也是每次从session取比对，代码如下： String captchaCode = (String) request.getSession().getAttribute(com.google.code.kaptcha.Constants.KAPTCHA_SESSION_KEY); if(captchaCode.equalsIgnoreCase(verificationCode)){ return "true"; } 如果比对一致就表示校验通过。这里权限是使用shiro，登陆也校验验证码，这时候是从token里取比对。重点来了，我处理这里保证验证码只能使用一次也是在这里做的逻辑，也就是在shiro的继承AuthorizingRealm里的doGetAuthenticationInfo方法里做文章，思路：就是在校验token里的验证码比对时从session删除验证码，这样再次传这个验证码就过不了了，具体逻辑： String captcha = (String) SecurityUtils .getSubject() .getSession() .getAttribute(com.google.code.kaptcha.Constants.KAPTCHA_SESSION_KEY);
//删除session里的验证码 SecurityUtils.getSubject().getSession().removeAttribute(com.google.code.kaptcha.Constants.KAPTCHA_SESSION_KEY); if(StringUtils.isBlank(captcha)) { throw new IncorrectCaptchaException("验证码失效"); } //比对token里与session里的验证码 if (captcha != null && !captcha.equalsIgnoreCase(token.getCaptcha()) ){ throw new IncorrectCaptchaException("验证码错误"); } 另外做以上操作，注意需要配合页面的刷新做，比如页面提示验证失效或错误了需要重新获取ajax生成（保证新生成一个放session里备用） 接下来该说第二个问题，那就是加密传输的问题。 其实这里的思路受起来也狠简单，就是传统的加密配合自己写的加密使用。自己写的加密的思路： 每个输入的字符生成一个的字符串，而这个字符串里某位是角标，真正的charAt(角标)位置才是输入内容，其他位则是随机生成，这个角标也是随机的，所以生成的串每次看起来不一样，这样抓到的包看到的就是每次发送的都不一样，让黑客难以分析出规律。前台自建加密js： function randomsort(d, c) { return Math.random() > 0.5 ? -1 : 1 } function encryption(e) { var g = e.split(""); for (var f = 0; f < g.length; f++) { var h = Math.floor(Math.random() * 3) + 1; var c = (f + 1) + "0" + (h + 1); for (var d = 0; d < h; d++) { c += Math.floor(Math.random() * 9) } g[f] = c + g[f]; var b = 9 - g[f].length; if (b > 2) { for (d = 0; d < b; d++) { g[f] += Math.floor(Math.random() * 9) } } } g.sort(randomsort); var a = ""; for (f = 0; f < g.length; f++) { a += g[f] + "$" } return a }; 页面使用也超级简单： var username = encode(encryption($("#username").val())); $("#sendUsername").val(username); var password = encode(encryption($("#password").val())); $("#sendPassword").val(password); 其实就是获取用户输入的明文进行自建加密，然后再调用一次其他常规加密，这里的encode就是其他的常规加密。 这样因为自建加密生成的串随机，那么常规加密生成的就每次不一样，尽管真正的每次用户名密码都一样。 但是说实话，别人要是花店心思先获取这个自建加密js（浏览器打开debug就可以看到，不过这个js要想让用户看到但是不知道什么意思除了变量定义用abcd外还可以加混淆，这样真的绝大部分黑客就望而止步了），说远了。 再来说说后台的解密，其实根据这个js已经可以知道java的解密怎么写了，这里贴出的我故意留个bug吧，可以用，但是会有问题，不能告诉大家见谅，如果真需要知道，可以单独找我。 public static String decryp(String str){ String[] strs = str.split("[$]"); Map<Integer, String> map = new TreeMap<Integer, String>( new Comparator<Integer>() { public int compare(Integer obj1, Integer obj2) { return obj2.compareTo(obj1); } }); for(String temp : strs){ Integer number = Integer.parseInt(temp.substring(0, temp.indexOf("0"))); temp = temp.substring(temp.indexOf("0") + 1, temp.length()); Integer index = Integer.parseInt(temp.substring(0, 1)); String[] temps = temp.split(""); String value = temps[index]; map.put(number, value); } Set<Integer> keySet = map.keySet(); Iterator<Integer> iter = keySet.iterator(); String result = ""; while (iter.hasNext()) { Integer key = iter.next(); result = map.get(key) + result; } return result; } 这是自建加密的后台解密，常规加密的解密就不说了。 到此私密数据的安全传输就提高一个档次了，加个混淆安全性就更上一层楼了。
