ios - 从 iPhone 安全地发送帖子数据

Question

我有以下问题:我已经了解如何在 iPhone 应用程序和 WebServer(SSL、Https)之间创建安全登录。我的问题是在创建 session token 后，如何确保如果黑客拦截它，在后续的 POST 请求中我会收到来自同一用户的数据？

我问这个是因为每次发出请求时我都必须发送 session token ，对吗？ (以便能够识别用户)。

我想防止很多事情:

• session 劫持，有人会嗅探用户 token 并发送数据而不是他(比如高分或其他)
• 使用通常不会从我的应用程序发送的数据进行数据注入(inject)，例如 1.000.000.000 高分(可能的分数，但不容易获得)。

我一直在看:

• UDID
• 用户代理(如果它不是来 self 的应用程序的应用程序名称，那就不好了，黑客实际上必须猜测我是否以某种方式执行此检查或下载我的 php 文件，对吗？)
• 该应用来自 AppStore。如果请求来自未经 Apple 批准的应用程序，则不行。我实际上不确定您是否可以对此进行测试。如果这可行，黑客将不得不实际提交 AppStore 并下载它以将错误数据插入我的数据库，我希望没有人有时间这样做。
• MAC 地址。不确定苹果是否允许。 IP 不起作用，因为有效用户可能会更改 IP。

我所见的 Cookie 很容易被追踪并查看其中的数据。

也许我在这里问的问题不对，所以实际上可能是我如何才能确保我收到的数据来自正确的用户和正确的应用程序？

Answer 1

围绕您的 POST 请求使用 SSL 的目的是防止在传输过程中被第三方拦截。如果黑客可以访问它，则意味着 token 在客户端(root 设备)、服务器(不安全的应用程序日志记录/调试)上泄露，或者他们破坏了 SSL。 (不太可能)

您可以通过捕获设备的 UDID(苹果不喜欢这样)或与源 IP 进行比较来执行一些高级检查，但是对于有问题的安全改进来说，这将需要付出很多努力。

只需确保所有敏感信息都在 SSL 中，您应该没问题。