200个API接口批量加密：两套工具组合，5天完成一个月的活

第一层 传输加密（HTTPS/TLS）：保护数据在传输过程中不被窃听。这是底线，没有这层的API就是裸奔。用Let's Encrypt免费证书+nginx配置，零成本。
第二层 签名验证（HMAC-SHA256）：防止请求被篡改和伪造。客户端把请求参数+时间戳+nonce随机数+密钥拼起来算一个签名，服务端用同样的方式算一遍，对不上就拒绝。防的是"中间人改了你的参数"。
第三层 内容加密（AES/RSA/SM4）：请求体和响应体本身就是密文。即便HTTPS被破解（比如企业内网做了SSL卸载），抓包看到的也是一堆乱码。防的是"即使看到了数据也看不懂"。

⚠️ 关键认知：HTTPS只保护传输过程，数据到了客户端和服务器之后是明文。如果你的API响应里包含用户手机号、身份证号等敏感信息，HTTPS挡不住客户端被逆向。三层都上才是真正的端到端加密。

# APISIX配置示例：对 /api/* 路由自动加解密（AES）# 在APISIX的路由配置中添加以下插件：curl http://127.0.0.1:9180/apisix/admin/routes/1 -X PUT -d '{"uri": "/api/*","plugins": {"cors": {},   # 跨域"body-transformer": {   # APISIX的body转换插件"request": {"template": ""   # 解密逻辑在自定义插件中实现}}}}'# 实际上需要通过自定义Lua插件实现完整的AES加解密# APISIX社区有现成的 crypto 插件支持AES/SM4# 安装后在路由配置中启用即可，无需改后端代码

# Python FastAPI中间件示例：AES自动加解密from fastapi import FastAPI, Requestfrom Crypto.Cipher import AESimport base64, jsonAES_KEY = b"your-32-byte-key-here-xxxxxx"  # 32字节密钥app = FastAPI()@app.middleware("http")async def encrypt_middleware(request: Request, call_next):# 解密请求体body = await request.body()if body:cipher = AES.new(AES_KEY, AES.MODE_ECB)decrypted = cipher.decrypt(base64.b64decode(body))# 将解密后的数据注入request（需要自定义实现）response = await call_next(request)# 加密响应体if response.body:cipher = AES.new(AES_KEY, AES.MODE_ECB)encrypted = base64.b64encode(cipher.encrypt(response.body))response.body = encryptedreturn response# 业务接口完全不用改，自动加密@app.get("/api/user/info")async def get_user():return {"name": "张三", "phone": "138****1234"}  # 返回时自动加密

标准签名流程（HMAC-SHA256）

① 客户端生成时间戳（timestamp）和随机数（nonce）
② 把所有请求参数按字母排序，拼成字符串：param1=value1¶m2=value2×tamp=xxx&nonce=yyy
③ 用密钥（secret_key）对上述字符串做HMAC-SHA256，得到签名sign
④ 请求时在Header里带上 timestamp、nonce、sign
⑤ 服务端收到后，用同样的方式算一遍签名，对比是否一致
⑥ 检查时间戳是否在允许范围内（如±5分钟），防止重放
⑦ 检查nonce是否已使用过（Redis记录），防止同一个请求重复发送

# Python服务端签名验证中间件（FastAPI）import hmac, hashlib, time, jsonfrom fastapi import Request, HTTPExceptionSECRET_KEY = b"your-secret-key"TIME_WINDOW = 300  # 允许5分钟时间差used_nonces = set()  # 生产环境用Redisasync def verify_signature(request: Request):timestamp = request.headers.get("X-Timestamp")nonce = request.headers.get("X-Nonce")sign = request.headers.get("X-Sign")# 1. 防重放：检查时间窗口if abs(time.time() - int(timestamp)) > TIME_WINDOW:raise HTTPException(403, "请求已过期")# 2. 防重放：检查nonce是否已使用if nonce in used_nonces:raise HTTPException(403, "重复请求")used_nonces.add(nonce)# 3. 验签：用同样方式重新计算签名body = await request.body()params = json.loads(body) if body else {}params["timestamp"] = timestampparams["nonce"] = noncesorted_str = "&".join(f"{k}={v}" for k, v in sorted(params.items()))expected_sign = hmac.new(SECRET_KEY, sorted_str.encode(), hashlib.sha256).hexdigest()if sign != expected_sign:raise HTTPException(403, "签名验证失败")

国密混合加密方案（对标AES+RSA）

① 前端用SM2公钥加密随机生成的SM4密钥
② 用SM4密钥加密业务数据（请求体）
③ 服务端用SM2私钥解密得到SM4密钥
④ 用SM4密钥解密业务数据
⑤ 响应数据同样用SM4加密返回

工具选型：前端用sm-crypto（npm），后端Java用Hutool的SmUtil，Python用gmssl。前后端国密方案在APISIX网关层也可以通过自定义插件实现，业务代码完全不用改。

场景一：已有项目，200个接口，快速批量加密

推荐：APISIX网关 + AES加密插件。在APISIX里配置一条路由规则，指定/api/*路径自动加解密，后端代码零改动。配置好之后200个接口全部自动加密，客户端对接加密SDK即可。
备选：框架拦截器/中间件方案。Spring Boot写两个Advice，Flask/FastAPI写一个Middleware，同样不改业务代码。
时间：APISIX方案半天搭好，框架中间件方案1-2天。

场景二：新项目，从零搭建安全API

推荐：HTTPS + 签名验证(HMAC-SHA256) + 内容加密(AES-GCM)三层全上。前端用CryptoJS + axios拦截器，后端用Hutool + 中间件。签名验证用Redis存储nonce防重放。
国密版：把AES换成SM4，RSA换成SM2，SHA换成SM3。前端sm-crypto，后端Hutool SmUtil。
时间：前后端各2-3天，含测试。

场景三：云上部署，不想自建网关

推荐：腾讯云/阿里云API网关 + 内置加密插件。控制台配置加密规则，支持AES/SM4，可视化操作。接入方式是在你的域名DNS里加一条CNAME指向网关地址。
优势：零运维，自带监控和限流，按量付费。中小项目一个月几十块钱。
时间：2小时内配完。