android - 安全 API 访问 : best strategy to secure readonly rails api for android client

Question

我已经使用 ruby​​ on rails 开发了一个只读 api，还为这个 api 开发了一个 android 客户端。

我想要的是限制对这个只读 api 的访问。

我可以为我的 api 使用的最佳解决方案是什么，

1. 使用 HTTP 基本身份验证

2. 通过访问 token 进行身份验证

3. OAuth 等

我需要 ssl 证书吗？

我的 Rails API 托管在 heroku 上。我应该使用 app.herokuapp.com 子域 ssl 还是使用我的自定义域并为我的自定义域购买 ssl 证书。

如果我确实需要 ssl 证书，请建议最好和最便宜的 ssl 证书提供商。

提前致谢!

Answer 1

API 最安全的方法是为每个用户提供不同的 API 身份验证 token 。另一方面，如果你想让它更加安全，我个人建议你使用 SSL，因为 SSL 会加密服务器和客户端之间的包，因此这是不可能的(不是不可能，但几乎不可能取决于您的 SSL 证书)来劫持服务器和客户端之间的通信。