android - 仅允许 Android 应用程序访问 Rails API 的最佳实践

Question

我没有找到任何具体的答案，而且大多数解决方案都是较旧的解决方案，因此我想向社区询问保护 Rails API 免受其他请求影响并仅允许 Android 应用程序访问它的最佳实践。没有用户注册或登录。 Android 应用只需要访问数据。

我想在我的 Android 应用程序中插入一个 key ，并在每个请求中传递该 key ，但这对我来说似乎不太安全。

在保护 Rails API 免受其他请求并仅允许 Android 应用程序访问它方面，推荐的做法是什么？谢谢。

Answer 1

我对 API 没有太多经验，但我知道如果你想正确保护它们，你可以使用一些 API secret keys处理工作

--

API key

如果您只想为特定用户群提供功能，最好将 API key 嵌入到他们的应用程序中。

我不知道你是如何具体实现这一点的(IE 仅适用于你的 android 系统)，但在理想的世界中你想要的是只允许特定的 API key 启用帐户访问 Rails 应用程序数据。

然后你的工作将是仅为 android 设备提供 key (我还不确定的部分)。

Rails 实际上在 securing an API 方面非常通用:

--

Android ID

我不太清楚，如果您在 Android 设备上安装应用程序，您肯定会获得 Android ID 或其他东西的访问权限吗？

根据reading this documentation ，您似乎可以访问 Android 内部的设备 ID 集合(用于您的设备和 Android 安装)。我会研究如何使用这些作为识别 API 请求的方法

Is there a unique Android device ID?

也许您的流程可能类似于 - 应用程序的首次运行将验证设备是否为 Android，如果是，则将设备 ID 添加到您的 Rails“API key ”数据库。这将允许您在将来允许访问该设备