如何合理开发Java接口(安全性，可重复调用，稳定性，追溯性)

一、接口开发规范

签名：对外提供的接口要做签名认证，认证不通过的请求不允许访问接口、提供服务。
加密：敏感数据在网络传输过程中应该加密。
IP白名单：限制请求的IP，增加IP白名单，一般在网关层处理。
限流：尤其是对外提供的接口，无法保障调用的频率，应该做限流处理，保障接口服务正常提供服务。
参数校验：即使前端做了非空，规范性校验，服务端参数校验仍然是非常必要的。
统一返回值：一个服务一套同意的数据返回结果和传参规范。
统一异常封装：系统报错友好提示，避免暴露出sql异常的信息给调用方。
请求日志：记录系统产生的日志，方便快速定位分析问题。
幂等设计：对于一些涉及到数据一致性的接口一定要做好幂等设计，防止数据出现重复问题。
限制记录条数：对于提供的大批量数据查询接口,一定要限制请求的记录条数。
压测：上线前我们务必要对 API接口做一下压力测试，知道各个接口的qps情况。以便于我们能够更好的预估，需要部署多少服务器节点，对于API接口的稳定性至关重要
异步处理：如果同步处理业务，耗时会非常长。这种情况下，为了提升API接口的性能，我们可以改成异步处理。
数据脱敏：关系到业务中用户的敏感数据要进行脱敏处理。
完整的接口文档。

二、保证API接口安全的10个小技巧

1、参数校验

必要性：防止无效请求，提高接口安全。

校验内容：

参数是否为空
参数类型是否正确
参数长度是否合理
枚举值是否合法
数据范围是否合适

2、统一封装返回值

目的：防止敏感信息泄露，保持响应结构一致。

返回值格式：

{

  "code": 0,

  "message": "操作成功",

  "data": [{"id": 123, "name": "abc"}]

}

code含义:0-成功，1-参数为空，2-参数错误，3-签名错误，4-请求超时，5-服务器内部错误等。

3、输入转义

XSS防御：转义用户输入的特殊字符
SQL注入防御：对用户输入进行SQL转义

4、权限控制

登录校验：判断用户是否登录
功能权限：只有特定权限的用户可以访问某些接口
数据权限：根据用户角色控制数据访问范围

5、验证码

用途：防止恶意刷接口，
形式：图形验证码、滑块验证、短信验证码。
注意：复杂验证码会影响用户体验。

6、限流

方法：对请求频率进行限制，防止接口被恶意刷。
实现：使用 Redis记录请求次数，设置每天的请求上限。

7、IP白名单

用途：限制只有特定IP可以访问重要接口。
实现：动态配置IP白名单，或通过数据库管理。

8、敏感词校验

方法：使用敏感词库对用户输入进行校验。
实现：自定义注解和AOP拦截器，敏感词匹配通过第三方接口或本地词库。

9、HTTPS协议

优点：数据加密，防止窃听、伪装和篡改。
注意：需要申请证书，有额外费用。

10、数据加密

用途：保护用户核心信息(如手机号、邮箱等)。
实现：使用 AES对称加密，自定义注解实现字段加解密。

三、API性能优化方法

1、索引优化

可以从以下几个角度入手：没加索引，索引没生效，选错索引。

2、SQL优化

如果优化了索引之后效果不明显，接下来可以尝试优化一下SQL语句，因为相对于修改Java代码来说，改造 SQL语句的成本要小得多。

3、远程调用

串行改并行
数据异构：为了提升接口性能，尤其在高并发场景下，可以考虑数据几余，将用户信息、积分和成长值的数据统一存储在一个地方，比如 Redis。

4、重复调用

问题：在我们的日常工作代码中，重复调用非常常见，但如果没有控制好，会严重影响接口的性能。
方案：可以通过批量查询来优化性能，减少数据库的查询次数。

5、异步处理

核心逻辑可以同步执行，同步写库。非核心逻辑，可以异步执行，异步写库。

异步处理通常有两种主要方式：多线程和消息队列(MQ)

6、避免大事务

为了避免大事务引发的问题，可以考虑以下优化建议:

少用 @Transactional 注解
将查询(select)方法放到事务外
事务中避免远程调用
事务中避免一次性处理太多数据
有些功能可以非事务执行
有些功能可以异步处理

7、锁粒度

为了避免多个线程并发修改同一共享数据而引发数据异常，通常我们会使用加锁的方式来解决这个问题。

然而，如果锁的设计不当，导致锁的粒度过粗，也会对接口性能产生显著的负面影响。

8、分页处理

问题：调用接口从数据库获取数据需要经过网络传输。如果数据量过大，无论是数据获取速度还是网络传输速度都会受到带宽限制，从而导致耗时较长。

方案：将一次性获取所有数据的请求，改为分多次获取，每次只获取一部分用户的数据，最后进行合并和汇总，

9、加缓存

我们最常用的缓存是：Redis和Memcached。

10、分库分表

问题：当系统发展到一定阶段，用户并发量增加，会有大量的数据库请求，这不仅需要占用大量的数据库连接，还会带来磁盘10的性能瓶颈问题。

方案：通过分库分表来解决。

11、监控功能

开启慢查询日志
链路跟踪
开源监控系统 Prometheus。

四、公共数据接口API

https://www.zhihu.com/question/32225726

https://www.cnblogs.com/chen0307/p/9634848.html

https://www.kancloud.cn/lizhixuan/free_api

https://www.seniverse.com/api

https://apis.baidu.com/