Phương pháp tốt nhất để tạo khóa API

Vì vậy, với rất nhiều dịch vụ khác nhau hiện nay, API Google, API Twitter, API Facebook, v.v.

Mỗi dịch vụ có một khóa API, như:

AIzaSyClzfrOzB818x55FASHvX4JuGQciR9lv7q

Tất cả các khóa có độ dài và ký tự khác nhau, tôi đang tự hỏi cách tốt nhất để tạo khóa API là gì?

Tôi không yêu cầu một ngôn ngữ cụ thể, chỉ là cách tiếp cận chung để tạo khóa, nếu chúng là mã hóa các chi tiết của ứng dụng người dùng, hoặc một hàm băm, hoặc một hàm băm của một chuỗi ngẫu nhiên, v.v. Chúng ta có nên lo lắng về thuật toán băm không (MSD, SHA1, bcrypt), v.v.?

Chỉnh sửa: Tôi đã nói chuyện với một vài người bạn (email / twitter) và họ khuyên họ chỉ nên sử dụng GUID với các dấu gạch ngang được loại bỏ.

Tuy nhiên, điều này có vẻ hơi khó hiểu với tôi, hy vọng sẽ có thêm một số ý tưởng.

Sử dụng trình tạo số ngẫu nhiên được thiết kế cho mật mã. Sau đó, cơ số 64 mã hóa số.

Đây là một ví dụ C #:

var key = new byte[32];
using (var generator = RandomNumberGenerator.Create())
    generator.GetBytes(key);
string apiKey = Convert.ToBase64String(key);

Các khóa API cần phải có các thuộc tính:

• xác định duy nhất một người dùng API được ủy quyền - phần "khóa" của "khóa API"
• xác thực người dùng đó - không thể đoán / giả mạo
• có thể bị thu hồi nếu người dùng hoạt động sai - thông thường họ nhập khóa vào cơ sở dữ liệu có thể xóa bản ghi.

Thông thường, bạn sẽ có hàng nghìn hoặc hàng triệu khóa API chứ không phải hàng tỷ, vì vậy chúng không cần phải:

• Lưu trữ thông tin đáng tin cậy về người dùng API vì thông tin đó có thể được lưu trữ trong cơ sở dữ liệu của bạn.

Do đó, một cách để tạo khóa API là lấy hai phần thông tin:

1. một số sê-ri để đảm bảo tính duy nhất
2. đủ các bit ngẫu nhiên để tạo ra chìa khóa

và ký chúng bằng bí mật riêng tư.

Bộ đếm đảm bảo rằng họ nhận dạng duy nhất người dùng và việc ký tên ngăn chặn việc giả mạo. Khả năng thu hồi yêu cầu kiểm tra xem khóa có còn hợp lệ trong cơ sở dữ liệu hay không trước khi thực hiện bất kỳ điều gì yêu cầu ủy quyền khóa API.

Trình tạo GUID tốt là một xấp xỉ khá tốt của bộ đếm tăng dần nếu bạn cần tạo khóa từ nhiều trung tâm dữ liệu hoặc không có cách phân phối tốt để gán số sê-ri.

hoặc băm của một chuỗi ngẫu nhiên

Băm không ngăn được giả mạo. Việc ký tên là điều đảm bảo rằng chìa khóa đến từ bạn.

Tôi sử dụng UUID, được định dạng bằng chữ thường không có dấu gạch ngang.

Việc tạo ra rất dễ dàng vì hầu hết các ngôn ngữ đều có nó được tích hợp sẵn.

Các khóa API có thể bị xâm phạm, trong trường hợp đó, người dùng có thể muốn hủy khóa API của họ và tạo một khóa mới, vì vậy phương pháp tạo khóa của bạn phải có thể đáp ứng yêu cầu này.

Nếu bạn muốn một khóa API chỉ có các ký tự chữ và số, bạn có thể sử dụng một biến thể của cách tiếp cận ngẫu nhiên cơ sở64 , chỉ sử dụng mã hóa cơ sở 62 để thay thế. Bộ mã hóa base-62 dựa trên điều này .

public static string CreateApiKey()
{
    var bytes = new byte[256 / 8];
    using (var random = RandomNumberGenerator.Create())
        random.GetBytes(bytes);
    return ToBase62String(bytes);
}

static string ToBase62String(byte[] toConvert)
{
    const string alphabet = "0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ";
    BigInteger dividend = new BigInteger(toConvert);
    var builder = new StringBuilder();
    while (dividend != 0) {
        dividend = BigInteger.DivRem(dividend, alphabet.Length, out BigInteger remainder);
        builder.Insert(0, alphabet[Math.Abs(((int)remainder))]);
    }
    return builder.ToString();
}

Khóa API phải là một số giá trị ngẫu nhiên. Ngẫu nhiên đến mức không thể đoán trước được. Nó không được chứa bất kỳ chi tiết nào về người dùng hoặc tài khoản mà nó dành cho. Sử dụng UUID là một ý tưởng hay, nếu bạn chắc chắn rằng các ID được tạo là ngẫu nhiên.

Ví dụ, các phiên bản trước của Windows đã tạo ra các GUID có thể dự đoán được, nhưng đây là một câu chuyện cũ.