本整改方案同时适用于私有云、公有云两种部署方式。

一、背景

在WebAPI信息传输过程中，明文传输用户名和密码是一种严重的安全风险，这种传输方式容易受到各种攻击，导致敏感信息泄露，进而可能导致用户账户被接管、数据泄露、财务损失等严重后果。故对于存在明文用户名和密码调用WebAPI接口的项目要求进行整改，避免直接使用明文的用户名和密码进行登录。

二、目前需要整改的调用方式

1. 引用了SDK，使用明文用户名密码进行登录，需整改

2. 原生开发方式直接调用ValidateUser 接口，传明文的用户名和密码，需整改

三、建议整改方式

1. 推荐使用Open SDK进行调用，具体步骤为：

详细信息可以参考: https://vip.kingdee.com/knowledge/specialDetail/229961573895771136?category=229963554177453824&id=288990899248563456

2. 引用了旧的SDK（非Open SDK）整改方式

引用旧的SDK调用明文用户名和密码情况下，可以下载附件的SDK（C# SDK.zipJava SDK.zip），使用SDK里面的LoginByAppSecret方法登录。

示例：

ApiClient client = new ApiClient("https://域名/k3cloud/");

var res = client.LoginByAppSecret("66583a5b4c621c ", "demo", "应用ID", "应用密钥", 2052);

其中，应用ID和应用密钥生成方式参考https://vip.kingdee.com/knowledge/specialDetail/229961573895771136?category=229963554177453824&id=298030366575393024&productLineId=1&lang=zh-CN

注意，如果不替换附件SDK的话，那么需要自行生成签名信息并调用LoginBySign（附件SDK里面的LoginByAppSecret方法会自动生成签名信息），示例代码如下：

static void Main(string[] args)

{

ApiClient client = new ApiClient("http://localhost/k3cloud/");

//时间戳

long timestamp = DateTimeFormatUtils.CurrentTimeMillis() / 1000;

//数据中心ID

string dbId = "账套ID";

//用户名称

string usserName = "用户名";

//应用Id

string appId = "应用ID";

//应用秘钥

string appSecret = "应用密钥";

//将账套ID、用户名、应用ID、应用秘钥、时间戳放到数组里面

string[] arr = new string[] { dbId, usserName, appId, appSecret, timestamp.ToString() };

//调用SHA加密算法生成签名信息，加密算法见下面原生开发整改方式里面的代码示例，注意PT-146911 8.0.0.202205 之前的版本需要使用SHA1加密算法

string sign = GetSHA256(arr);

//调用LoginBySign方法

var loginResult = client.LoginBySign(dbId, usserName, appId, timestamp, sign, 2052);

//判断登录结果

var resultType = JObject.Parse(loginResult)["LoginResultType"].Value<int>();

//登录结果类型等于1，代表登录成功

if (resultType == 1)

{

//调其他接口

}

}

3. 原生开发整改方式

没有引用任何SDK，使用原生开发方式，可以改为调用LoginBySign使用签名信息登录接口。

接口地址参考：

https://域名/K3Cloud/Kingdee.BOS.WebApi.ServicesStub.AuthService.LoginBySign.common.kdsvc

请求报文示例：

{

"parameters": ["66583a5b4c621c","demo","281109_S/eDTZlp4vkYS4SH3/SpzwSq7LwUwOrp","1723791948","14f5b104d7ffb62ded105cf6cf574537a2e61483c3002644e3da173a61518cc4",2052]

}

参数依次为账套ID、用户名、应用ID、时间戳、签名信息、语言ID；

签名信息生成方式：

将账套ID、用户名、应用ID、应用秘钥、时间戳放到数组里面，将数组排序以后使用SHA256加密以后生成。

注意：PT-146911 8.0.0.202205 之前的版本不支持SHA256加密，需要使用SHA1加密算法

应用ID、应用密钥生成方式参考https://vip.kingdee.com/knowledge/specialDetail/229961573895771136?category=229963554177453824&id=298030366575393024&productLineId=1&lang=zh-CN

C#获取签名信息示例：

static void Main(string[] args)

{

//时间戳

long timestamp = DateTimeFormatUtils.CurrentTimeMillis() / 1000;

//数据中心ID

string dbId = "账套ID";

//用户名称

string usserName = "用户名";

//应用Id

string appId = "应用ID";

//应用秘钥

string appSecret = "应用密钥";

//将账套ID、用户名、应用ID、应用秘钥、时间戳放到数组里面

string[] arr = new string[] { dbId, usserName, appId, appSecret, timestamp.ToString() };

//获取签名信息

string sign = GetSHA256(arr);

}

//SHA256加密

private static string GetSHA256(string[] arr)

{

if (!arr.IsNullOrEmpty())

{

Array.Sort(arr, StringComparer.Ordinal);

byte[] bytes = Encoding.UTF8.GetBytes(string.Join("", arr));

using (SHA256 sHA = SHA256.Create())

{

byte[] data = sHA.ComputeHash(bytes);

return Hex.ToHexString(data);

}

}

return string.Empty;

}

//SHA1加密

private static string GetSHA1(string[] arr)

{

Array.Sort(arr, StringComparer.Ordinal);

string s = string.Join("", arr);

SHA1 sHA = SHA1.Create();

byte[] array = sHA.ComputeHash(Encoding.UTF8.GetBytes(s));

StringBuilder stringBuilder = new StringBuilder();

byte[] array2 = array;

foreach (byte b in array2)

{

stringBuilder.AppendFormat("{0:x2}", b);

}

return stringBuilder.ToString();

}

Java获取签名信息示例

public static void main(String[] args) throws Exception {

//时间戳

long timestamp = System.currentTimeMillis() / 1000;

//数据中心ID

String dbId = "账套ID";

//用户名称

String usserName = "用户名";

//第三方系统应用Id

String appId = "应用ID";

//第三方系统应用秘钥

String appSecret = "应用密钥";

//将账套ID、用户名、应用ID、应用秘钥、时间戳放到数组里面

String[] arr = new String[] { dbId, usserName, appId, appSecret, String.valueOf(timestamp) };

//生成签名信息

String sign = getSha256(arr);

System.out.println(sign);

}

public static String getSha256(String[] input) throws UnsupportedEncodingException, NoSuchAlgorithmException {

Arrays.sort(input);

//SHA1加密的话改成MessageDigest.getInstance("SHA-1");

MessageDigest sha256 = MessageDigest.getInstance("SHA-256");

for (String str : input) {

sha256.update(str.getBytes("UTF-8"));

}

byte[] hashBytes = sha256.digest();

StringBuilder hashString = new StringBuilder();

for (byte b : hashBytes) {

String hex = Integer.toHexString(0xff & b);

if (hex.length() == 1) {

hashString.append('0');

}

hashString.append(hex);

}

return hashString.toString();

}

WebAPI明文用户名密码传输安全改造指南

恭喜您！