|
个人感觉感觉好多人把概念和用途都搞混了，说说我的浅见总结
什么是重放？
用你的原始请求数据原封不动地再发一次或者多次，别人只需要知道原始请求数据、再次发送即可，不需要猜测 nonce 不需要破解加密算法等
防止重放攻击的主要维度：
1. 幂等
比如金融或者其他涉及资金之类的业务，订单 ID 本身的幂等性是最基础的，已经实现了幂等的功能即使被重放也只是消耗算力
2. 时间
如果服务端对访问的时间有效期不做限制，那么任何一个请求数据被保存下来之后，任何时间都可以再次用这个数据进行请求；
所以，防范重访攻击的基础，是对请求时间有效性进行限制和校验：每个请求应该带上时间戳，服务端对时间戳与服务器时间做有效性校验，比如时差超过 30 秒认为请求不合法。
以上两点以外的其他防范，例如猜 nonce 算法、破解加密算法之类的来伪造请求内容，本身已经是生成新的请求了、跟重放的字面含义就已经不符了。
所以，严格来讲这些不应该归纳为重放，而是应该属于密码学范畴的攻防扩展了，例如：
1. crypto ，内容加密，对称非对称不同等级
2. sign ，不同 hash 算法验签
3. nonce ，加盐 |
