android - android应用程序和服务器之间的客户端服务器通信

Question

我正在构建一个 android 应用程序，它与 web 服务器通信以进行身份​​验证，并从服务器获取数据。我正在使用 HTTPS/SSL 在服务器上使用自签名证书进行通信，并允许在 android 应用程序中使用该证书。通过这种方式，我确信我正在与正确的服务器通话。但是如何确保服务器从正确的客户端收到请求。

如果我欺骗浏览器发送http请求到服务器怎么办？

服务器如何知道它是否正在从 android 应用程序接收请求，是否有任何方法可以限制服务器仅处理来自移动应用程序的请求？

Answer 1

这是一个复杂的问题。

您可以拥有由您的服务器识别的 CA 签署的私有(private)证书及其相应的公共(public)证书(只需将 CA 公共(public)证书添加到相应的 keystore 中)。该解决方案的主要并发症是:-有人可以窃取证书并在另一台设备上使用它(如果这个问题对于您的应用程序来说可以忽略不计，那么这个解决方案就可以了)- 证书分发和过期:您需要一个用于 Bootstrap 、证书分发和证书过期前操作的解决方案。

其他解决方案可能涉及拥有设备 ID，有一些供应商为此提供，并使用一次性密码。