android - 安全的 Web 服务请求

Question

我需要通过 Android 应用程序向 Web 服务发出请求。Web服务可以根据需要设计。

在我看来，无论我选择哪种方法，想要破解它的人只需要对我的 android 应用程序代码进行逆向工程(这不是很难)并且可以确切地看到我在做什么，无论我加密数据、使用硬编码密码还是任何其他解决方案。

是否有 100% 安全的解决方案？

Answer 1

没有 100% 的安全，您所能做的就是让攻击者更难做。您可以考虑的事项:

• 加密 - 通过加密 channel 传递您的请求将停止基本嗅探(这可以用 MITM 来应对)

• 混淆 - 当他们反编译您的应用时，让您的 Intent 更难理解

第二部分是缓解 - 能够在您的应用受到威胁时发现并进行处理。处理此问题的典型方法是在第一次运行时为每个客户端分配一个唯一的 token ，然后在每次调用您的服务时将其作为参数传递。

这样，如果有人反编译您的应用程序并弄清楚如何调用您的服务，您至少可以开始监控滥用请求的来源并监控可疑行为(即短时间内来自同一 key 的多个请求)不同的 IP 地址)。从那里您可以开始阻止 key 。