google-app-engine - 保护 Google Cloud Endpoints API

Question

我们已经准备好后端代码并可以正常工作，我们希望保护构建在 Google Cloud Endpoints 之上的 API。

所以现在，我们要实现这些目标还有一些困难:

1) 只允许来自 iOS 设备的请求

在这里Using Auth with Endpoints文章说我们可以Specifying authorized clients in the API backend .我们确实添加了类似的内容:

@Api(
    name = "tictactoe",
    version = "v1",
    scopes = {Constants.EMAIL_SCOPE},
    clientIds = {Constants.IOS_CLIENT_ID}
)

但是，我们仍然可以在不提供任何客户端ID的情况下访问。

2) 只有真实用户才能访问我们的 API

我们的应用程序有两种用户:注册用户和访客。 没有使用 google 或 facebook 的第 3 方登录。

如果我们实现一个 getToken 方法并为用户生成一个 token 会怎么样。但是任何了解此 API 或嗅探流量的人都会知道该机制，并且他们可以作为 guest 帐户使用我们的 API。

我们已经用谷歌搜索并看到了很多 OAuth2 或 HMAC，但对于我们的情况，是否有可能做到更容易和相对安全。

那么，一般来说，我们如何基于 Google Cloud Platform 实现安全的后端 API？

Answer 1

这似乎很棘手，您可以尝试:将 hiddenProperty 添加到持有共享 key 的客户端查询中。正如 bossylobster 所述 here和卡洛斯 here .