node.js - 从客户端到 Node.js 服务器的安全 HTTPS 连接

Question

我正在为使用 Node.js 处理 HTTPS 请求的移动应用程序开发后端。我已经设置了一个 SSL 来从客户端连接到服务器，我想知道这是否足够安全。

我没有从移动设备拦截端点的经验，但我看到人们可以通过手机监控互联网流量并获取端点以响应服务器请求。我在 tinder 上看到了黑客攻击，人们可以看到响应 JSON，甚至可以通过向 tinder 的端点发送 http 请求来自动滑动。

我真正担心的是人们将能够在我的后端更新/读取/修改数据。我也可以将 OAuth2 实现到我的架构中，但我仍然看到人们可能滥用该系统的情况。

我的主要问题是使用 HTTPS 是否足够安全以保护我的数据，或者是否需要像 OAuth2 这样的 session 身份验证系统。

谢谢。

Answer 1

HTTPS，如果配置正确，将确保消息在途中不被读取或更改，并且客户端可以知道它正在与之通信的服务器不是假的。

它将确保传输安全。它不会保护应用程序。

例如，假设您有一个允许您发送消息 https://www.example.com/transfermoney?from=Kyle&to=BazzaDP&amount=9999.99 的应用程序服务器根据这些参数执行此操作。然后我可以自己发送该消息 - 我不需要拦截任何应用程序消息。

通常服务器需要身份验证 以及 HTTPS，例如，验证只有 Kyle 用户可以发送上述消息，而不是其他任何人。 HTTPS 通常只提供服务器身份验证而不提供客户端身份验证(除非使用双向证书 HTTPS)。

所以问题是，即使攻击者无法读取或更改应用程序和服务器之间的任何消息，他们是否仍然会造成伤害？这是衡量它是否足够安全的标准。