javascript - 内部 REST API 安全性

Question

我已经研究这个问题几天了，遇到了很多问题，但我仍然不太确定。

我正在使用 Node.js 创建一个 REST API，它将用于 Web 应用程序和移动应用程序，该应用程序仅供应用程序的后端使用，不适用于其他开发人员。

我当前担心的是安全性，我知道还有其他方法，例如 OAuth 等，但我想知道我当前的方法是否足够安全。

“客户端”使用 Node 中的 crypto.createHmac('text', 'secret'); 方法创建 HMAC-SHA1 token ，其中包含 API key 和 secret 。该 secret 内置于代码中，而 API key 已在用户登录应用程序时从数据库中检索。然后，客户端发送此 token 以及用户 ID。

然后，REST 服务器检索已发送的用户 ID 的 API key ，然后再次使用刚刚检索到的 API key 和 secret 创建 HMAC-SHA1 token 。然后它会检查它们是否相等并继续处理请求。

我不介意它是“重新发明轮子”还是什么，它也更多的是为了经验。如果此方法不安全，我想知道原因。

Answer 1

如果没有客户端设备的物理安全(即:您拥有硬件)，就没有完美的安全性。拥有客户端设备的人始终能够找到您的 secret ，因此不必太担心。使用您的 HMAC 来掩盖网络代理的 secret 。

即使使用 OAUTH，客户端 key 也可能被盗。

您可以通过要求身份验证来为用户提供安全性。听起来你已经在这样做了。所以我觉得你很好。

也就是说，作为一般规则，我更喜欢使用现有的协议(protocol)和库，而不是实现自己的协议(protocol)和库。他们往往有更安全的实现。