个人中心
文章发布
退出
作者热门文章
- android - 多次调用 OnPrimaryClipChangedListener
- android - 无法更新 RecyclerView 中的 TextView 字段
- android.database.CursorIndexOutOfBoundsException : Index 0 requested, 光标大小为 0
- android - 使用 AppCompat 时，我们是否需要明确指定其 UI 组件(Spinner、EditText)颜色
26
4
如何防止在 Web 应用上下文之外使用公共(public)端点？
我有一个用 ReactJS 开发的 Web 应用程序，它使用一个用 C# 和 Net Core 2.0 开发的公共(public) API。一些端点是公共(public)的，这意味着这些端点不使用某种身份验证或授权方法。那么，我如何保护这些公共(public)端点以防止在我的 Web 应用程序上下文之外使用它们，例如，不使用 Postman 使用端点并防止被机器人攻击。
Cors 启用:起源 -> “”， header -> “” 和方法 -> “*”。该应用程序可以在世界任何地方使用。
一个伙伴告诉我一个疯狂的想法，当公共(public)端点被消费时，不管是如何或什么，从端点重定向到一个带有验证码的网页，端点等待直到验证码成功，然后它会继续与交易。
最佳答案
如果公共(public) API 不使用任何身份验证和授权，您将无法控制其使用(IP 范围等类似防火墙的功能除外)。
Captcha 重定向不会真正帮助您:您失去了在您的应用程序中无缝使用 API 的可能性:只需在浏览器中单击“开发人员工具”，每个人都可以按字节调用它与从您的应用程序使用时相同的字节方式。
很可能最简单的解决方案是创建某种身份验证和身份验证:针对无法解决的问题(根据定义是不安全的)寻求解决方案将花费您大量的时间、头痛和安全漏洞，而不仅仅是正确地做。
关于c# - 如何在没有身份验证和授权方法的情况下保护公共(public)端点，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/56782160/
26
4
0
在 spring boot 2 应用程序中，我正在尝试访问执行器端点/beans，就像我之前在 Spring boot 1.5.* 应用程序中所做的那样。但我做不到。此外，我没有在 log.INFO
我正在为资源 items 编写端点，它是 applications 的子资源，如下所示:applications/{:id}/items。项目和应用程序都具有除名称之外的其他属性。 我创造了 GET
我正在创建一个 API，其中基于经过身份验证的用户可以更改对象的不同属性的权限。 解决这个问题的常用方法是什么？ 我应该有这样的端点吗 /admin/users 和 /users 具有不同的 API
也许(希望如此)我错过了一些非常简单的东西，但我似乎无法弄清楚。 我有一组我想放在 nghttpx 代理后面的 gRPC 服务。为此，我需要能够使用非根 url 上的 channel 配置我的客户端。
我没有找到法定存款的历史记录(来自银行卡)， 这里只有加密存款:https://prnt.sc/ttdwc2= ) 例如，在我的银行帐户界面中，我在 5 月 12 日找到了存款，但在这里找不到...
我很好奇普罗米修斯的工作原理。使用 Prometheus 界面，我可以看到一个下拉列表，我认为其中包含所有可用的指标。但是，我无法访问列出所有抓取的指标的指标端点。 http://targethost
是否可以从 apollo-server-express 上的 GraphQL 端点触发浏览器中的文件下载？应用？ 我有一个用标准 express 写的端点 app.get函数(见下文)，但我想利用 G
有谁知道在一个请求中获取您上传到媒体库的所有图像的端点吗？我将 next js 与 Strapi 一起使用，需要一种方法来从媒体库中获取所有图像，但似乎没有任何相关文档 最佳答案 /api/上传 GE
关闭。这个问题需要更多focused .它目前不接受答案。 想改进这个问题吗？ 更新问题，使其只关注一个问题 editing this post . 关闭 6 年前。 Improve this qu
我编写了一个简单的 HTTP 监听器并将其部署在 Heroku 应用程序中。我确保在 $PORT 中绑定(bind)端口。 现在，我尝试使用 url name-of-my-app.herokuapp.
我正在尝试构建一个安全系统，用于将数据从客户端 Android 应用程序传输到运行 PHP 的网络服务器。 我想做的是确保系统是加密安全的，这样来自应用程序的消息可以被验证为实际上来自应用程序本身，而
我是 Go 编程语言的新手。尝试使用 gousb访问爱普生收据打印机。 因此，我从存储库中获取了一些示例代码，并对其进行了一些调整，以验证我是否可以访问打印机。 我可以看到打印机并枚举端点。我收到此输
我正在使用 azure API 端点。 ....azure-api.net/...。当我尝试使用 Charles 代理查看 HTTP 请求/响应时，HTTP 响应为空。当我关闭代理时，该请求有效。 我
我正在关注这个tutorial了解用户成功登录后如何获取 token 。 到目前为止我已完成的步骤: 我已使用此 URL 注册了自己(用户名和密码):https://MyCompany.b2clogi
给定一个以 .svc 结尾且应该运行 SOAP 网络服务的 URL，我如何从中获取一些数据？ 我试过: 通过网络浏览器访问它 通过 Python 的库 Zeep 访问它 通过 Microsoft 实用
我认为公共(public) REST API(例如注册端点)无法验证用户身份是否正确？例如，我们的端点应该只接受来 self 们的移动应用程序和 future 网络应用程序的请求。 我很确定这在逻辑上
在自托管服务中，我想使用 App.config 中指定的端点(如果存在)，或者如果 App.config 为空则使用代码中指定的默认端点。我该怎么做？ 编辑:澄清一下，这是在服务器(服务)端使用 Se
我需要在我的后端服务器中实现实时开发者通知，以了解我的用户所做的任何购买修改(暂停帐户、续订订阅等)。我的后端服务器是用 Delphi 制作的，没有现成的 Delphi 库，但是，我可以制作一个 HT
我创建了一个 Kubernetes 服务: [root@Infra-1 kubernetes]# kubectl describe service gitlab Name: git
我正在开发一个应用程序，我需要将对象列表传递给 REST 端点，该端点将进行一些计算并将结果返回给调用者。 问题更多是关于如何处理这种情况的哲学问题？ 在 GET 请求中传递大量有效负载是一个坏主意。
我是一名优秀的程序员,十分优秀！