• http协议之digest(摘要)认证，详细讲解并附Java SpringBoot源码

    目录

    1.digest认证是什么？

    2.digest认证过程

    3.digest认证参数详解

    4.基于SpringBoot实现digest认证

    5.digest认证演示

    6.digest认证完整项目

    7.参考博客

    1.digest认证是什么？

            HTTP通讯采用人类可阅读的文本格式进行数据通讯，其内容非常容易被解读。出于安全考虑，HTTP规范定义了几种认证方式以对访问者身份进行鉴权，最常见的认证方式之一是Digest认证。Digest是一种加密认证方式，通讯中不会传输密码信息，而仅采用校验方式对接入的请求进行验证。

            DIGEST 认证是使用质询 / 响应的方式（challenge/response），但不会像 BASIC 认证那样直接发送明文密码。质询响应方式是指，一开始一方会先发送认证要求给另一方，接着使用从另一方那接收到的质询码计算生成响应码。最后将响应码返回给对方进行认证的方式。

            Digest认证支持的加密算法有：SHA256,SHA512/256,MD5。上述这几种算法都是由哈希函数来生成散列值，其加密过程为单向计算，请求方无法反算出密码明文。
     

    2.digest认证过程

     

    步骤 1： 请求需认证的资源时，服务器会随着状态码 401Authorization Required，返回带WWW-Authenticate 首部字段的响应。该字段内包含质问响应方式认证所需的临时质询码（随机数，nonce）。首部字段 WWW-Authenticate 内必须包含realm 和nonce 这两个字段的信息。客户端就是依靠向服务器回送这两个值进行认证的。nonce 是一种每次随返回的 401 响应生成的任意随机字符串。该字符串通常推荐由Base64 编码的十六进制数的组成形式，但实际内容依赖服务器的具体实现。

    步骤 2：接收到401状态码的客户端，返回的响应中包含 DIGEST 认证必须的首部字段 Authorization 信息。首部字段 Authorization 内必须包含 username、realm、nonce、uri 和response的字段信息。其中，realm 和 nonce 就是之前从服务器接收到的响应中的字段。
    　　username是realm 限定范围内可进行认证的用户名。uri（digest-uri）即Request-URI的值，但考虑到经代理转发后Request-URI的值可能被修改因此事先会复制一份副本保存在 uri内。

    　　response 也可叫做 Request-Digest，存放经过 MD5 运算后的密码字符串，形成响应码。

    步骤 3：接收到包含首部字段 Authorization 请求的服务器，会确认认证信息的正确性。认证通过后则返回包含 Request-URI 资源的响应。并且这时会在首部字段 Authentication-Info 写入一些认证成功的相关信息。（不过我下面的例子没有去写这个Authentication-Info，而是直接返回的数据。因为我实在session里缓存的认证结果）。

    3.digest认证参数详解

    WWW-Authentication：用来定义使用何种方式（Basic、Digest、Bearer等）去进行认证以获取受保护的资源
    realm：表示Web服务器中受保护文档的安全域（比如公司财务信息域和公司员工信息域），用来指示需要哪个域的用户名和密码
    qop：保护质量，包含auth（默认的）和auth-int（增加了报文完整性检测）两种策略，（可以为空，但是）不推荐为空值
    nonce：服务端向客户端发送质询时附带的一个随机数，这个数会经常发生变化。客户端计算密码摘要时将其附加上去，使得多次生成同一用户的密码摘要各不相同，用来防止重放攻击
    nc：nonce计数器，是一个16进制的数值，表示同一nonce下客户端发送出请求的数量。例如，在响应的第一个请求中，客户端将发送“nc=00000001”。这个指示值的目的是让服务器保持这个计数器的一个副本，以便检测重复的请求
    cnonce：客户端随机数，这是一个不透明的字符串值，由客户端提供，并且客户端和服务器都会使用，以避免用明文文本。这使得双方都可以查验对方的身份，并对消息的完整性提供一些保护
    response：这是由用户代理软件计算出的一个字符串，以证明用户知道口令
    Authorization-Info：用于返回一些与授权会话相关的附加信息
    nextnonce：下一个服务端随机数，使客户端可以预先发送正确的摘要
    rspauth：响应摘要，用于客户端对服务端进行认证
    stale：当密码摘要使用的随机数过期时，服务器可以返回一个附带有新随机数的401响应，并指定stale=true，表示服务器在告知客户端用新的随机数来重试，而不再要求用户重新输入用户名和密码了

    4.基于SpringBoot实现digest认证

    DemoApplication.java
    1. package com.digest.demo;
    2.  
    3. import org.springframework.boot.SpringApplication;
    4. import org.springframework.boot.autoconfigure.SpringBootApplication;
    5.  
    6. @SpringBootApplication(scanBasePackages="com.digest")
    7. public class DemoApplication {
    8.  
    9. 	public static void main(String[] args) {
    10. 		SpringApplication.run(DemoApplication.class, args);
    11. 	}
    12.  
    13. }
    WebConfig.java
    1. import com.digest.interceptor.DigestAuthInterceptor;
    2. import org.springframework.context.annotation.Configuration;
    3. import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
    4. import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;
    5.  
    6. @Configuration
    7. public class WebConfig implements WebMvcConfigurer {
    8.  
    9.     @Override
    10.     public void addInterceptors(InterceptorRegistry registry) {
    11.         DigestAuthInterceptor requireAuthInterceptor = new DigestAuthInterceptor();
    12.         registry.addInterceptor(requireAuthInterceptor);
    13.     }
    14.  
    15. }
    IndexController.java
    1. package com.digest.controller;
    2.  
    3. import javax.servlet.http.HttpServletRequest;
    4. import javax.servlet.http.HttpServletResponse;
    5.  
    6. import com.digest.interceptor.DigestAuth;
    7. import org.springframework.stereotype.Controller;
    8. import org.springframework.web.bind.annotation.RequestMapping;
    9. import org.springframework.web.bind.annotation.ResponseBody;
    10.  
    11.  
    12. @Controller
    13. public class IndexController {
    14.  
    15.     @DigestAuth
    16.     @RequestMapping("/login")
    17.     @ResponseBody
    18.     public String login(HttpServletRequest req, HttpServletResponse res) {
    19.         return "{code: 0, data: {username:\"test\"}}";
    20.     }
    21.  
    22.     @DigestAuth
    23.     @RequestMapping("/index")
    24.     @ResponseBody
    25.     public String index(HttpServletRequest req, HttpServletResponse res) {
    26.         return "{code: 0, data: {xxx:\"xxx\"}}";
    27.     }
    28.  
    29. }
    DigestAuth.java
    1. package com.digest.interceptor;
    2. import java.lang.annotation.ElementType;
    3. import java.lang.annotation.Retention;
    4. import java.lang.annotation.RetentionPolicy;
    5. import java.lang.annotation.Target;
    6.  
    7. // can be used to method
    8. @Retention(RetentionPolicy.RUNTIME)
    9. @Target(ElementType.METHOD)
    10. public @interface DigestAuth {
    11.  
    12. }
    DigestAuthInterceptor.java
    1. package com.digest.interceptor;
    2.  
    3. import java.text.MessageFormat;
    4.  
    5. import javax.servlet.http.HttpServletRequest;
    6. import javax.servlet.http.HttpServletResponse;
    7.  
    8. import com.digest.model.DigestAuthInfo;
    9. import com.digest.util.DigestUtils;
    10. import org.springframework.web.method.HandlerMethod;
    11. import org.springframework.web.servlet.handler.HandlerInterceptorAdapter;
    12.  
    13.  
    14. public class DigestAuthInterceptor extends HandlerInterceptorAdapter {
    15.  
    16.     // 为了 测试Digest nc 值每次请求增加
    17.     private int nc = 0;
    18.  
    19.     @Override
    20.     public boolean preHandle(HttpServletRequest req, HttpServletResponse res, Object handler) throws Exception {
    21.         // 请求目标为 method of controller，需要进行验证
    22.         if (handler instanceof HandlerMethod) {
    23.             HandlerMethod handlerMethod = (HandlerMethod) handler;
    24.             Object object = handlerMethod.getMethodAnnotation(DigestAuth.class);
    25.  
    26.             /* 方法没有 @RequireAuth 注解， 放行 */
    27.             if (object == null) {
    28.                 return true; // 放行
    29.             }
    30.  
    31.             /* 方法有 @RequireAuth 注解，需要拦截校验 */
    32.             // 没有 Authorization 请求头，或者 Authorization 认证信息验证不通过，拦截
    33.             if (!isAuth(req, res)) {
    34.                 // 验证不通过，拦截
    35.                 return false;
    36.             }
    37.  
    38.             // 验证通过，放行
    39.             return true;
    40.         }
    41.  
    42.         // 请求目标不是 mehod of controller, 放行
    43.         return true;
    44.     }
    45.  
    46.     private boolean isAuth(HttpServletRequest req, HttpServletResponse res) {
    47.         String authStr = req.getHeader("Authorization");
    48.         System.out.println("请求 Authorization 的内容：" + authStr);
    49.         if (authStr == null || authStr.length() <= 7) {
    50.             // 没有 Authorization 请求头，开启质询
    51.             return challenge(res);
    52.         }
    53.  
    54.         DigestAuthInfo authObject = DigestUtils.getAuthInfoObject(authStr);
    55.         // System.out.println(authObject);
    56.  
    57.         /*
    58.          * 生成 response 的算法：
    59.          *  response = MD5(MD5(username:realm:password):nonce:nc:cnonce:qop:MD5(<request-method>:url))
    60.          */
    61.         // 这里密码固定为 123456, 实际应用需要根据用户名查询数据库或缓存获得
    62.         String HA1 = DigestUtils.MD5(authObject.getUsername() + ":" + authObject.getRealm() + ":"+authObject.getUsername());
    63.         String HD = String.format(authObject.getNonce() + ":" + authObject.getNc() + ":" + authObject.getCnonce() + ":"
    64.                 + authObject.getQop());
    65.         String HA2 = DigestUtils.MD5(req.getMethod() + ":" + authObject.getUri());
    66.         String responseValid = DigestUtils.MD5(HA1 + ":" + HD + ":" + HA2);
    67.  
    68.         // 如果 Authorization 中的 response（浏览器生成的） 与期望的 response（服务器计算的） 相同，则验证通过
    69.         System.out.println("Authorization 中的 response: " + authObject.getResponse());
    70.         System.out.println("期望的 response: " + responseValid);
    71.         if (responseValid.equals(authObject.getResponse())) {
    72.             /* 判断 nc 的值，用来防重放攻击 */
    73.             // 判断此次请求的 Authorization 请求头里面的 nc 值是否大于之前保存的 nc 值
    74.             // 大于，替换旧值，然后 return true
    75.             // 否则，return false
    76.  
    77.             // 测试代码 start
    78.             int newNc = Integer.parseInt(authObject.getNc(), 16);
    79.             System.out.println("old nc: " + this.nc + ", new nc: " + newNc);
    80.             if (newNc > this.nc) {
    81.                 this.nc = newNc;
    82.                 return true;
    83.             }
    84.             return false;
    85.             // 测试代码 end
    86.         }
    87.  
    88.         // 验证不通过，重复质询
    89.         return challenge(res);
    90.     }
    91.  
    92.     /**
    93.      * 质询：返回状态码 401 和 WWW-Authenticate 响应头
    94.      *
    95.      * @param res 返回false，则表示拦截器拦截请求
    96.      */
    97.     private boolean challenge(HttpServletResponse res) {
    98.         // 质询前，重置或删除保存的与该用户关联的 nc 值（nc：nonce计数器，是一个16进制的数值，表示同一nonce下客户端发送出请求的数量）
    99.         // 将 nc 置为初始值 0， 这里代码省略
    100.  
    101.         // 测试代码 start
    102.         this.nc = 0;
    103.         // 测试代码 end
    104.  
    105.         res.setStatus(401);
    106.         String str = MessageFormat.format("Digest realm={0},nonce={1},qop={2}", "\"no auth\"",
    107.                 "\"" + DigestUtils.generateToken() + "\"", "\"auth\"");
    108.         res.addHeader("WWW-Authenticate", str);
    109.         return false;
    110.     }
    111.  
    112. }
    DigestAuthInfo.java
    1. package com.digest.model;
    2.  
    3. import lombok.Data;
    4.  
    5. @Data
    6. public class DigestAuthInfo {
    7.     private String username;//认证的用户名
    8.     private String realm;//Web服务器中受保护文档的安全域（比如公司财务信息域和公司员工信息域），用来指示需要哪个域的用户名和密码
    9.     private String nonce;//服务端向客户端发送质询时附带的一个随机数
    10.     private String uri;//请求的资源位置,访问地址，例如/index
    11.     private String response;//由用户代理软件计算出的一个字符串，以证明用户知道口令
    12.     private String qop;//保护质量，包含auth（默认的）和auth-int（增加了报文完整性检测）两种策略，（可以为空，但是）不推荐为空值
    13.     private String nc;//nonce计数器，是一个16进制的数值，表示同一nonce下客户端发送出请求的数量。
    14.     public String cnonce;//客户端随机数，这是一个不透明的字符串值，由客户端提供，并且客户端和服务器都会使用，以避免用明文文本。
    15.  
    16. }
    DigestUtils.java
    1. package com.digest.util;
    2.  
    3. import java.security.MessageDigest;
    4. import java.security.NoSuchAlgorithmException;
    5. import java.util.Base64;
    6. import java.util.Random;
    7.  
    8. import com.digest.model.DigestAuthInfo;
    9.  
    10. public class DigestUtils {
    11.  
    12.     /**
    13.      * 根据当前时间戳生成一个随机字符串
    14.      * @return
    15.      */
    16.     public static String generateToken() {
    17.         String s = String.valueOf(System.currentTimeMillis() + new Random().nextInt());
    18.  
    19.         try {
    20.             MessageDigest messageDigest = MessageDigest.getInstance("md5");
    21.             byte[] digest = messageDigest.digest(s.getBytes());
    22.  
    23.             return Base64.getEncoder().encodeToString(digest);
    24.         } catch (NoSuchAlgorithmException e) {
    25.             throw new RuntimeException();
    26.         }
    27.     }
    28.  
    29.  
    30.     public static String MD5(String inStr) {
    31.         MessageDigest md5 = null;
    32.  
    33.         try {
    34.             md5 = MessageDigest.getInstance("MD5");
    35.         } catch (Exception e) {
    36.             System.out.println(e.toString());
    37.             e.printStackTrace();
    38.             return "";
    39.         }
    40.  
    41.         char[] charArray = inStr.toCharArray();
    42.         byte[] byteArray = new byte[charArray.length];
    43.  
    44.         for (int i = 0; i < charArray.length; i++) {
    45.             byteArray[i] = (byte) charArray[i];
    46.         }
    47.  
    48.         byte[] md5Bytes = md5.digest(byteArray);
    49.         StringBuffer hexValue = new StringBuffer();
    50.  
    51.         for (int i = 0; i < md5Bytes.length; i++) {
    52.             int val = ((int) md5Bytes[i]) & 0xff;
    53.             if (val < 16)
    54.                 hexValue.append("0");
    55.             hexValue.append(Integer.toHexString(val));
    56.         }
    57.  
    58.         return hexValue.toString();
    59.     }
    60.  
    61.     /**
    62.      * 该方法用于将 Authorization 请求头的内容封装成一个对象。
    63.      *
    64.      * Authorization 请求头的内容为：
    65.      *     Digest username="aaa", realm="no auth", nonce="b2b74be03ff44e1884ba0645bb961b53",
    66.      *     uri="/BootDemo/login", response="90aff948e6f2207d69ecedc5d39f6192", qop=auth,
    67.      *     nc=00000002, cnonce="eb73c2c68543faaa"
    68.      */
    69.     public static DigestAuthInfo getAuthInfoObject(String authStr) {
    70.         if (authStr == null || authStr.length() <= 7)
    71.             return null;
    72.  
    73.         if (authStr.toLowerCase().indexOf("digest") >= 0) {
    74.             // 截掉前缀 Digest
    75.             authStr = authStr.substring(6);
    76.         }
    77.  
    78.         // 将双引号去掉
    79.         authStr = authStr.replaceAll("\"", "");
    81.         DigestAuthInfo digestAuthObject = new DigestAuthInfo();
    82.         String[] authArray = new String[8];
    83.         authArray = authStr.split(",");
    84.         // System.out.println(java.util.Arrays.toString(authArray));
    86.         for (int i = 0, len = authArray.length; i < len; i++) {
    87.             String auth = authArray[i];
    88.             String key = auth.substring(0, auth.indexOf("=")).trim();
    89.             String value = auth.substring(auth.indexOf("=") + 1).trim();
    90.             switch (key) {
    91.                 case "username":
    92.                     digestAuthObject.setUsername(value);
    93.                     break;
    94.                 case "realm":
    95.                     digestAuthObject.setRealm(value);
    96.                     break;
    97.                 case "nonce":
    98.                     digestAuthObject.setNonce(value);
    99.                     break;
    100.                 case "uri":
    101.                     digestAuthObject.setUri(value);
    102.                     break;
    103.                 case "response":
    104.                     digestAuthObject.setResponse(value);
    105.                     break;
    106.                 case "qop":
    107.                     digestAuthObject.setQop(value);
    108.                     break;
    109.                 case "nc":
    110.                     digestAuthObject.setNc(value);
    111.                     break;
    112.                 case "cnonce":
    113.                     digestAuthObject.setCnonce(value);
    114.                     break;
    115.             }
    116.         }
    117.         return digestAuthObject;
    118.     }
    120. }

    application.properties

    1. server.port=8080
    2. server.servlet.context-path=/

    pom.xml

    1. <?xml version="1.0" encoding="UTF-8"?>
    2. <project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    3. 	xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 https://maven.apache.org/xsd/maven-4.0.0.xsd">
    4. 	<modelVersion>4.0.0</modelVersion>
    5. 	<parent>
    6. 		<groupId>org.springframework.boot</groupId>
    7. 		<artifactId>spring-boot-starter-parent</artifactId>
    8. 		<version>2.7.6</version>
    9. 		<relativePath/> <!-- lookup parent from repository -->
    10. 	</parent>
    11. 	<groupId>SpringBootDigest</groupId>
    12. 	<artifactId>demo</artifactId>
    13. 	<version>0.0.1-SNAPSHOT</version>
    14. 	<name>demo</name>
    15. 	<description>Demo project for Spring Boot</description>
    16. 	<properties>
    17. 		<java.version>1.8</java.version>
    18. 	</properties>
    19. 	<dependencies>
    20. 		<dependency>
    21. 			<groupId>org.springframework.boot</groupId>
    22. 			<artifactId>spring-boot-starter-web</artifactId>
    23. 		</dependency>
    24.  
    25. 		<dependency>
    26. 			<groupId>org.springframework.boot</groupId>
    27. 			<artifactId>spring-boot-starter-test</artifactId>
    28. 			<scope>test</scope>
    29. 		</dependency>
    30. 		<dependency>
    31. 			<groupId>org.projectlombok</groupId>
    32. 			<artifactId>lombok</artifactId>
    33. 			<version>1.18.24</version>
    34. 		</dependency>
    35. 	</dependencies>
    36.  
    37. 	<build>
    38. 		<plugins>
    39. 			<plugin>
    40. 				<groupId>org.springframework.boot</groupId>
    41. 				<artifactId>spring-boot-maven-plugin</artifactId>
    42. 			</plugin>
    43. 		</plugins>
    44. 	</build>
    45.  
    46. </project>

    5.digest认证演示

    启动项目后，访问http://localhost:8080/login，出现如下界面

     输入账号 user 密码 user，登录，出现如下界面

     项目后端打印信息如下所示：

    1. 请求 Authorization 的内容：Digest username="user", realm="no auth", nonce="Fy9j+28xS8co4LWob6LOAg==", uri="/login", response="516234f0509c3c81f9130ddfbcd95f50", qop=auth, nc=00000006, cnonce="b064dbc52ff14c0a"
    2. Authorization 中的 response: 516234f0509c3c81f9130ddfbcd95f50
    3. 期望的 response: 516234f0509c3c81f9130ddfbcd95f50
    4. old nc: 0, new nc: 6
    5. 请求 Authorization 的内容：Digest username="user", realm="no auth", nonce="Fy9j+28xS8co4LWob6LOAg==", uri="/login", response="3977b5c6e46b2941b61c835659dd904a", qop=auth, nc=00000007, cnonce="637df6c7b8be6edb"
    6. Authorization 中的 response: 3977b5c6e46b2941b61c835659dd904a
    7. 期望的 response: 3977b5c6e46b2941b61c835659dd904a
    8. old nc: 6, new nc: 7
    9. 请求 Authorization 的内容：null
    10. 请求 Authorization 的内容：Digest username="user", realm="no auth", nonce="T/46pI2qR2K0Cy6D4hb4jg==", uri="/login", response="ae9a759d6ac8af2d4a9e73a17cdd0859", qop=auth, nc=00000002, cnonce="3efb440863ffc450"
    11. Authorization 中的 response: ae9a759d6ac8af2d4a9e73a17cdd0859
    12. 期望的 response: ae9a759d6ac8af2d4a9e73a17cdd0859
    13. old nc: 0, new nc: 2

    6.digest认证完整项目

    基于SpringBoot完整项目 http://www.zrscsoft.com/sitepic/12152.html

    7.参考博客

    http协议之digest(摘要)认证_red-fly的博客-CSDN博客_digest认证

    HTTP的几种认证方式之DIGEST 认证（摘要认证） - wenbin_ouyang - 博客园

  • 相关阅读:
    Mockito的@Mock与@MockBean
    LeetCode 面试题 01.09. 字符串轮转
    19 【节点的增删改查】
    MATLAB 状态空间设计 —— LQG/LQR 和极点配置算法
    httpprompt.ml靶场练习
    多线程入门总结
    【IoT】产品经理：如何了解行业需求、痛点和发展机会？
    网络安全渗透测试工具AWVS14.6.2的安装与使用（激活）
    【经典算法学习-排序篇】顺序查找
    “搞事情”?OpenAl将于11月召开其首届开发者大会
  • 原文地址：https://blog.csdn.net/jlq_diligence/article/details/128172793