c# - 保护内存中的 REST token

Question

所以我有一个 REST api。我有一个 C# 客户端，它可以通过 https 使用用户名/密码登录。它以字符串形式返回一个标记。我存储该 token ，稍后当我进行进一步的 API 调用时，我可以创建一个授权 header :

client.Headers.Add("Authorization", "Bearer"+ token);

但是 token 被返回并作为字符串存储在内存中。这不会使 token 在内存转储中可见成为安全问题吗？

Answer 1

如果此人可以读取计算机上的内存，那么您可能已经失去了任何安全保障。他们将能够反编译您的客户端，以发现您用来掩盖它的任何机制，并能够对它们进行逆向工程。此外，他们很可能能够监听网络请求并在您采取任何措施保护它之前访问用户名/密码和任何 token 。

您最好假设 token 可能会被泄露。如果它确实落入坏人之手，则使其具有时间限制和可撤销性，至少可以限制损害。您还应该像对待用户名/密码一样对待它，并根据谁被授予 token 来限制 API 的访问范围，而不是通过您的客户端进行访问这一事实。