背景
出于安全合规及业务场景多样化的考量，与企业级 ERP 系统如聚水潭、金蝶等进行 API 对接时，传统静态 Token 及基础认证方式（如固定密钥、简单用户名密码）已难以满足复杂的数据交互安全需求。这类静态认证模式存在明显安全短板，容易在传输过程中被截获、伪造或因系统漏洞泄露。
为了让客户能够更安全的接入API数据，Dataphin5.1支持了两种新的API认证方式。
- 一种是基于 OAuth 2.0的动态授权机制，授权服务器验证通过后，颁发短期有效的 Access Token，用于 API 请求认证；
- 一种是请求签名认证，通过对每一次 API 请求的关键参数进行加密签名，确保数据完整性与防抵赖性。
功能
API数据源支持OAuth2.0认证
API数据源OAuth2.0认证采取“客户端模式”认证，用户需填写Access Token获取的URL以及客户端ID和密钥。填写好Access Token获取配置后，可点击“连接测试”查看token请求结果，将token的获取路径填写到API数据源的配置中。在离线集成API组件中，若使用了配置了OAuth2.0认证的数据源，将获取token，再进行数据抽取，保证数据安全的、持续的进入大数据平台。
API组件支持自定义签名认证
离线集成API输入输出组件都对请求签名进行了支持，以API输入组件为例，在配置请求参数时可选择是否启用签名，若启用则需要填写签名配置信息。不同企业对于请求签名的要求是差异化的，具体体现在签名字符串的拼接方式及签名生成函数。为了满足这类多样化的场景，我们支持了多种自定义配置能力：
- 生成函数：可选择MD5HEX、HMAC-MD5、HMAC-SHA256、HMAC-SHA1函数，其中HMAC函数需填写密钥
- 拼接内容：可选择仅参数值或参数名称+参数值的方式选择拼接主体内容，此外拼接顺序和连接符也可进行配置
- 动态参数：除了业务的核心参数外，通常采用随机串或时间戳来避免请求伪造，因此我们同步支持了时间戳以及不同位数的随机数供用户选择
规划
未来在API认证上，我们将支持更灵活的认证方式。在动态token场景上，满足非OAuth2.0协议的动态token获取；在请求签名场景上，我们将提供自由配置签名字符串的方式，满足不同企业对于请求签名的要求。
