android - 限制对服务器后端的访问

Question

我正在 Monodroid/MonoTouch 上制作一个跨平台应用程序，我的应用程序应该与服务器端部分联系以从中获取数据。数据是敏感的，是应用的基础。

假设人们可以获得正确的请求语法，或者如果我使用 key 对我的查询进行编码，他们可以通过调试获得该 key ，我将如何保护它以限制其他人/应用程序对服务器端的使用。

Answer 1

您需要在数据传输中保密，例如使用 SSL/TLS，如 HTTPS，但仅此是不够的。默认情况下，这意味着客户端可以确保它信任服务器，而不是服务器可以信任客户端(并且不包括您的调试案例)。

因此您还需要身份验证。这与拥有 secret key 几乎相同，只是它需要基于用户(或您信任的实体)，而不是硬编码应用程序本身(不可信任)。

让用户注册并获取密码(或将用户 token 保存到设备存储中)是启动此操作的一种方法。它将保护您免受其他人使用您的数据。

您可以通过创建某种类型的用户/设备关联来增强这一点，这样用户 secret 就不能在多个设备之间共享……这可以限制使用替代方案(不受信任的) 由同一(可信)用户申请，例如在不同的设备上。