android - 登录应用程序并从服务器获取 session token 以进行 api 请求

Question

有一个网站有很多用户。为了使用私有(private)页面，用户必须使用用户名和密码登录。

现在我正在开发一个 Android 应用程序，该应用程序以 native 方式通过 API 显示来自网站的内容，没有 WebView 或类似的。工作流程如下:

• 应用已启动
• 应用检查 session key 是否存在。
  • 如果 key 存在，询问网站API session key 是否有效并且属于用户=> 如果是这样，允许使用该应用程序
  • 如果不存在 session key ，则询问用户名+密码，询问 API 是否正确并通过 API 获取新的 session key => 允许应用程序使用
• 用户点击例如“账户余额”-> API 请求使用存储的 session key 完成并显示结果
• 用户点击“支付”，填写表格并获得他的钱-> API 请求使用存储的 session key 完成并显示结果

现在我正在寻找解决此问题的最佳实践。 我不希望我的 session key 被简单地劫持，我想确保 session key 确实属于该用户。由于可以通过应用查看/修改私有(private)数据，因此隐私非常重要。

我查看了 oAuth，但我认为这不是我需要的，因为我需要对每个用户来说都是唯一的消费者 key 和消费者 secret ，但我无法将其集成到应用程序中。我不想有一个新的窗口/浏览器来输入用户名+密码，并像 oAuth 那样通过回调处理响应。

有什么提示吗？

非常感谢!

Answer 1

有关 http 身份验证最佳实践的良好起点，请查看这篇文章:

"Principles for Standardized REST Authentication" .