ios - 以明文形式发送用户名/密码是否安全？

Question

我的网站正在创建一个扩展其功能的应用程序 - 这意味着该应用程序不需要遵循严格的 OAuth 流程，因为我们显然相信自己。

我们希望应用程序的用户能够从应用程序内输入他们的用户名和密码...这意味着我们需要一种方法将该信息传输到网络服务器以验证它们。

假设我们使用 SSL，这是一个安全的想法吗？

我们是否需要采取额外的步骤，我们是否需要以某种方式确保请求来 self 们的应用，而不是欺骗性应用或其他什么？

Answer 1

首先，仅仅相信自己是不够的。一旦您的应用落入您的用户手中，您将无法控制您的应用、使用它的设备或它所连接的网络。

在您的应用程序中有一个只有您的服务器能够破译(如评论中提到的)的公共(public)共享 key 的方案仍然会导致问题，因为掌握您的应用程序的用户可能会对其进行逆向工程并获取该 key 以定位其他用户。

如果您不使用单点登录 (SSO) 对您的网站进行身份验证，而是使用表单中的普通用户名和密码，那么从您的应用程序通过 SSL/TLS 连接传输它与这样做没有什么不同从浏览器(通过 HTTPS)，前提是整体配置是正确的。无论如何，当您从浏览器发布表单时，这已经发生了。通过按照您的建议使用 SSL/TLS，您实际上并没有以明文形式发送密码(前提是密码配置正确)。

检查它是来自您的应用程序还是来自欺骗性应用程序是另一回事，这通常很难防范。如果您的服务设计良好，那么在您已经拥有用户身份验证的情况下通常不值得这样做。经过身份验证的用户应该只能执行您的服务器允许他们执行的操作，无论这些操作的请求来自您的应用程序还是这些用户控制的其他应用程序(只要服务器验证他们已正确验证)。 (在这种情况下，如果用户被诱骗使用欺骗性应用程序而不是服务本身，则欺骗性应用程序对用户本身来说往往是一个更大的问题。)