• 项目介绍
  • 功能简介
  • 技术简介
  • 架构图
  • 流程图
• 项目实现
  • 接口说明
  • 错误码说明
    • 公共错误码
    • 模块错误码
  • 加密说明
    • 接口请求SSL
    • 密码初始化
    • Token生成规则
  • 日志说明
    • 日志规则
    • 日志样例
  • 安全防范
    • 密码强度
    • 参数校验
    • 敏感词过滤
    • 参数化查询
  • 数据库说明
  • 配置文件说明
  • 版本说明
  • 常用后端命令

1. 具备注册登录功能
2. 一个⽤户只能在一个设备上登录，切换终端登录时，其他已登录的终端会被踢出
3. 用户长时间未使用功能，需要重新登录，而经常使用则会延长登录状态

客户端下载链接：MyLogin

• 客户端用Android实现，采用Djinni实现跨平台开发，业务逻辑在C++层实现
• 服务端用C++实现，缓存使用Redis,数据库使用MySQL
• 使用GPRC进行远程通信，生成非对称密钥，使用SSL进行数据传输加密
• 使用Bazel构建后台项目，以及依赖管理
• 使用Docker部署项目，并使用Docker Compose编排容器

客户端	服务端

requestUserLogin

{
    "code": 0,
    "msg": "",
    "data": {
	"token":"",
	"refresh_token":""
    }
}

requestUserSign

{
    "code": 0,
    "msg": "",
    "data": {
	"token":"",
	"refresh_token":""
    }
}

requestLogout

无

{
    "code": 0,
    "msg": "",
    "data": ""
}

checkConnect

无

{
    "code": 0,
    "msg": "",
    "data": ""
}

refreshToken

{
    "code": 0,
    "msg": "",
    "data": {
	"token":"",
	"refresh_token":""
    }
}

公共错误码范围 0 ~ 99

业务逻辑错误，7位数字

组成规则：[模块][接口][具体错误]

如：1xxxzzz 账号模块，2xxxzzz 卡包模块, ......

接口使用SSL加密认证，通过OpenSSL生成对应的密钥文件，客户端保存公钥，在Channel中加上公钥信息，服务器端通过私钥认证接口合法性，保证传输安全

1. 生成16位由数字、大小写字母组成的随机盐
2. 通过SHA256消息摘要算法对账号进行计算，获得摘要信息
3. 将2中获得的摘要信息作为盐，与随机盐、密码拼接，获得加密前信息
4. 将3中获得的信息，进行SHA256消息摘要计算，获得加密后的64位，用16进制表示的密码字符串

1. 通过用户传来的账号和密码，用“注册流程”加密规则获得加密后密码字符串
2. 与数据库中用户的密码字符串比对，一致则登录成功，反之则登录失败。

1. 加密前Token由用户信息和当前登录信息组成

   加密前Token = [用户账号]:[用户UID]:[随机6位字符串]:[登录时间戳（秒）]:[过期时间戳（秒）]

   例如："13533192331:2:172649:1552031125:1557301525"

2. 将加密前Token进行对称密钥算法AES计算，获得加密后Token

   Token = AES(加密前Token)

日志文件按日期分割，例如 2019-3-5.log

分三个等级

1. 初级密码

• 总共6-18位
• 由任意数字或字母组成

2. 中级密码（当前）

• 总共6-18位
• 至少1个数字字符
• 至少1个小写字母
• 至少1个大写字母
• 其他可以是任意字符

3. 高级密码

• 总共6-18位
• 至少1个数字字符
• 至少1个小写字母
• 至少1个大写字母
• 至少1个特殊字符
• 其他可以是任意字符

1. 入参校验

   根据参数的业务类型规定数据的格式，进行校验，不匹配则返回错误码1，防止SQL注入。

2. 反参校验

   返回数据前对数据进行敏感字符过滤，存在则返回错误码2，防止XSS攻击返回非法语句，SSRF攻击返回系统信息等。

在执行SQL语句前，对传入的参数进行敏感字符过滤，确保参数内容符合预期，防止SQL注入。

使用存储过程进行参数化查询和数据的插入，防止SQL注入。

使用MySQL作为数据库

使用存储过程封装常用数据库操作

{
        "SERVER_IP_PORT": "0.0.0.0:50051",          //服务-IP:端口
	"REDIS_IP": "47.92.xxx.xx",                 //Redis-IP
	"REDIS_POST": 6379,                         //Redis-端口
	"MYSQL_HOST": "47.92.xxx.xx",               //MySQL-IP
	"MYSQL_POST": 3306,                         //MySQL-端口
        "MYSQL_CHARSET": "UTF8",                    //MySQL-编码
        "MYSQL_USER": "melon",                      //MySQL-登入用户名
	"MYSQL_PASSWORD": "xxxxxxxxxx",             //MySQL-登入密码
	"MYSQL_DB_NAME": "user_center",             //MySQL-登入库名
	"SSL_PATH_KEY": "source/pem/server.key",    //SSL-KEY
	"SSL_PATH_CERT": "source/pem/server.crt",   //SSL-密钥
	"TOKEN_AES_KEY": "$L&^E*Usd9k!Ld4%",	    //参与Token加密AES的密钥
	"IS_CONSOLE_DEBUG_INFO": true,		    //决定是否打印和记录DEBUG信息，生产环境下可关闭
	"TOKEN_TIMEOUT_DAY": 15,		    //Token的有效时间（天）
	"REFRESH_TOKEN_TIMEOUT_DAY": 30		    //RefreshToken的有效时间（天）
}