security - HTTP 授权 header - 不记名 token 安全

Question

我正在构建一个可以从网络和移动平台使用的 API。

我需要一些帮助和建议来改进我的不记名 token 授权。

身份验证

当前的身份验证非常简单。我将假定发送的凭据是正确的:

• 将电子邮件和密码发送到 API 端点
• 存储带有到期日期的用户 token
• 用用户授权 token 回复客户端

授权

然后，任何其他操作授权包括:

• 发送授权承载“ token ”头
• 决定是否允许 token 所有者执行操作
• 完成操作

关注

我担心的是，如果有人只查看请求 header ，则很容易发现不记名 token 。这将允许用户从任何其他客户端发出任何有害请求。

大多数可以故意做坏事的请求，在应用程序上下文中都是完全有效的。因此，通过请求参数过滤掉它们并不容易。

可能的修复

我一直在考虑发送标题的可能性:

• 用户授权 token
• 发送日期或任何其他参数
• 哈希( token ，其他参数)

在服务器上，我会分别比较每个参数，然后比较加密的哈希值。

因此，如果有人发送具有不同日期的相同散列，则很容易被检测为入侵者。

---

您还有其他建议可以使通信更加安全吗？

Answer 1

您正在考虑使用日期和哈希的解决方案不会增加针对基本对手的任何安全性。 token 的过期时间应在服务器端的数据库中进行管理。

Oauth 2 威胁模型告诉您如何在 section 4.6.1 中保护您的 token .