android - 我如何安全地(间接地)查询 android 中的 postgresql 数据库？

Question

我必须采用的当前解决方案使用 JDBC 并将数据库的用户/密码存储在 android 应用程序中。就我而言，这不是一个好的解决方案。我想在中间的网络服务器上实现一个映射层。

对此是否有任何最佳实践或推荐策略？我应该使用 SOAP 或 JSON 还是完全不同的东西(因为它们在 Java 中实现良好和/或易于使用)？在 PHP 中是否有任何用于 postgresql <-> SOAP/JSON/whatever 的映射工具，或者我需要自己编写这些脚本吗？

任何指点将不胜感激。

Answer 1

快速版:

使用在您控制的公共(public)主机(可能但不一定是数据库主机)上运行的 Web 服务中间层。公开公共(public) Web 服务方法来完成您想要允许的有限工作，而不是其他任何事情。

相关问题:

• Driver JDBC PostgreSQL with Android
• How to connect to a PostgreSQL server via JDBC in Android?

实现方案

我个人会使用像 Apache Tomcat 这样的 Java 应用服务器或 JBoss AS 7我会使用 JAX-RS 编写我的 Web 服务方法为我的应用程序生成一个很好的 REST 风格的 API。这就是我所熟悉的并且效果很好，但是您有很多选择，包括实现:

• 使用 HTTP 请求并生成 JSON 或 XML 回复的类 REST API(Java 的 JAX-RS impls Jersey 和 RESTEasy，以及各种其他语言工具)。

• 带有 WSDL 的 SOAP，经典的“网络服务”层。在 Java 中使用 JAX-WS 以及其他选项完成。大多数语言都有用于 SOAP+WSDL 的工具，但使用它有点糟糕，尤其是在手机等间歇性连接的设备上。

• XML-RPC 如果你喜欢痛苦的话

有一些 JAX-RS quickstarts在 JBoss AS 7 quickstarts 上列表;只需搜索“JAX-RS”。 “kitchen sink”快速入门很有用，但如果您不熟悉 JBoss AS 7 和 Jave EE 6 的基础知识，它可能并不理想。要了解 JAX-RS 的细节，您最好使用 Jersey 或 RESTEasy 教程，例如this或 this .

重要注意事项

如果可能，请使用 HTTP，如果访问不是公开的，请使用合适的 HTTP 身份验证方案，例如基于 HTTP 的 HTTP 基本身份验证。任何体面的 Web 服务实现都将提供身份验证选项或支持其运行平台的选项。避免在 Web 服务层实现您自己的身份验证和用户管理的诱惑，您会搞砸的；在已经编写和测试的 HTTP 层使用身份验证。这可能需要使用 Apache 的 mod_auth_pgsql、JBoss AS 7 的 JDBC 安全领域等。我认为没有进行适当的每用户 HTTP 身份验证的唯一情况是我不需要出于安全原因将我的用户分开，我只关心它是我的应用程序访问服务器，即如果我的安全要求很弱。在这种情况下，我会为整个应用程序使用固定的用户名/密码，如果 Android 支持，可能还会使用 X.509 客户端证书。

请记住，无论您如何保护事物，所有凭据要么为用户所知，要么可以从 .apk 中轻松提取，因此您仍然必须假设任何人都可以访问您的 Web 服务方法，而不仅仅是您的应用程序。相应地写下它们。

不要只是通过 Web 服务调用从您的应用程序向服务器发送 SQL 并将结果作为 JSON 返回。这是非常不安全的，而且丑陋和笨拙。为您希望应用程序能够执行的每个单独任务编写一个 Web 服务方法，并将 SQL 保留在服务器中。请记住使用参数化查询并注意其他 SQL 注入(inject)风险。这些 Web 服务方法可能会使用一个或多个查询来生成单个回复 - 例如，您可能会收集一条“客户”记录和所有关联的“地址”和“联系人”记录，然后将结果返回到 Android 设备的一个漂亮的 JSON 对象中可以消耗，节省大量缓慢且不可靠的网络往返。

无论您使用什么，请确保在后台工作线程中执行 Web 服务调用，并且不要阻塞用户界面。为超时和错误以及重试的需要做好准备。通过模拟间歇性连接丢失、高延迟和高丢包率来测试您的应用，并确保它仍然可用。