个人中心
文章发布
退出
作者热门文章
- html - 出于某种原因，IE8 对我的 Sass 文件中继承的 html5 CSS 不友好？
- JMeter 在响应断言中使用 span 标签的问题
- html - 在 :hover and :active? 上具有不同效果的 CSS 动画
- html - 相对于居中的 html 内容固定的 CSS 重复背景？
25
4
我想开发一个身份验证网络服务，它可以在安卓应用程序中用于登录和访问其他服务。所以基本上我通过 HTTP 请求发送凭据并在一切正常时授予用户访问权限。我需要保护这些凭据，以免它们被不需要的用户拦截。
我将 eclipse 与 Tomcat 7、Jersey 一起用于我的其余 Web 服务、spring 和 hibernate。我的网络服务是这样的
@GET
@Path("/login/{id}/{pass}")
@Produces(MediaType.TEXT_HTML)
public String login(@PathParam("id") int id,@PathParam("pass") String pass) {
String res="Null parameters";
if(id!=0 && !pass.isEmpty())
{
try {
User user = service.getOne(id);
if(user.getPass().equals(pass))
res="Success";
else
res="Fail";
}
catch (Exception e) {
res="User not found";
}
}
return "<html> " + "<title>" + "Result" + "</title>"
+ "<body><h1>" + res + "</body></h1>" + "</html> ";
}
我用它来测试浏览器，我还没有开始编写客户端代码。
我真的在这里挠头，我一直在网上四处寻找，有些人在谈论 OAuth 2.0 和其他人在谈论 HMAC，我不知道该使用哪个，如果有另一种方法请让我知道。
如果您知道有关如何为我的项目实现安全性的有用教程，那就太好了，欢迎任何其他建议。非常感谢
最佳答案
这实际上取决于您的应用程序所需的安全级别。
有很多复杂的安全系统，但对于大多数应用程序来说，这些都是相当大材小用的。
如果您只是在寻找一些基本的密码保护，而不处理付款或真正敏感的数据，您可以执行以下简单操作。
如果可以，让您的服务通过 https 运行。所有数据都将自动受到保护。
散列密码。许多语言已经内置了对简单哈希的支持，例如 MD5 和 SHA1，如果没有，您可以在谷歌上搜索它们的实现，它们经常被使用。这意味着即使您作为管理员也不知道真正的密码。您只需将经过散列处理的通行证保存在您的数据库中，然后比较散列值。
在您的客户端，为您的散列添加盐。可能如果你用谷歌搜索第 2 步，它已经在那里了，否则它只是意味着你做了类似 hash("132rjfASDF!"+password"+vnsadfr1!Z"); 的事情。让它更加随机。
这些简单的步骤可以非常容易和快速地实现，并且将为您的服务提供大部分时间所需的所有安全性。如果你真的要处理支付和敏感数据等事情，你应该考虑更严肃的解决方案。
附言。不要认为使用“post”而不是“get”是任何一种安全措施，从 Android 的角度来看，您使用哪个并不重要。无论如何，人们将不得不使用程序来获取网络连接以查看链接(例如 WireShark)，并且读取 GET 参数与读取 POST 参数一样容易。
关于android - 我应该使用什么来保护 REST 网络服务中的参数，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/15657537/
25
4
0
我正在尝试在Elasticsearch中返回的值中考虑地理位置的接近性。我希望近距离比某些字段(例如legal_name)重要，但比其他字段重要。 从文档看来，当前的方法是使用distance_fea
我是Elasticsearch的初学者，今天在进行“多与或”查询时遇到问题。 我有一个SQL查询，需要在Elastic中进行转换: WHERE host_id = 999 AND psh_pid =
智能指针应该/可以在函数中通过引用传递吗？ 即: void foo(const std::weak_ptr& x) 最佳答案 当然你可以通过const&传递一个智能指针。 这样做也是有原因的: 如果接
我想执行与以下MYSQL查询等效的查询 SELECT http_user, http_req_method, dst dst_port count(*) as total FROM my_table
我用这两个查询进行测试 用must查询 { "size": 200, "from": 0, "query": { "bool": { "must": [ { "mat
我仍在研究 Pro Android 2 的简短服务示例(第 304 页)同样，服务示例由两个类组成:如下所示的 BackgroundService.java 和如下所示的 MainActivity.j
给定标记 like this : header really_wide_table..........................................
根据 shouldJS 上的文档网站我应该能够做到这一点: ''.should.be.empty(); ChaiJS网站没有使用 should 语法的示例，但它列出了 expect 并且上面的示例似乎
我在 Stack Overflow 上读到一些 C 函数是“过时的”或“应该避免”。你能给我一些这种功能的例子以及原因吗？ 这些功能有哪些替代方案？ 我们可以安全地使用它们 - 有什么好的做法吗？ 最
在 C++11 中，可变参数模板允许使用任意数量的参数和省略号运算符 ... 调用函数。允许该可变参数函数对每个参数做一些事情，即使每个参数的事情不是一样的: template void dummy(
我在我从事的项目之一上将Shoulda与Test::Unit结合使用。我遇到的问题是我最近更改了此设置: class MyModel :update end 以前，我的(通过)测试看起来像这样: c
我该如何做 or使用 chai.should 进行测试? 例如就像是 total.should.equal(4).or.equal(5) 或者 total.should.equal.any(4,5)
如果您要将存储库 B 中的更改 merge 到存储库 A 中，是否应该 merge .hgtags 中的更改？ 存储库 B 可能具有 A 中没有的标签 1.01、1.02、1.03。为什么要将这些 m
我正在尝试执行X AND(y OR z)的查询 我需要获得该代理为上市代理或卖方的所有已售属性(property)。 我只用 bool(boolean) 值就可以得到9324个结果。当我添加 bool
我要离开 this教程，尝试使用 Mocha、Supertest 和 Should.js 进行测试。 我有以下基本测试来通过 PUT 创建用户接受 header 中数据的端点。 describe('U
我正在尝试为 Web 应用程序编写一些 UI 测试，但有一些复杂的问题希望您能帮助我解决。 首先，该应用程序有两种模式。其中一种模式是“训练”，另一种是“现场”。在实时模式下，数据直接从我们的数据库中
我有一个规范: require 'spec_helper' # hmm... I need to include it here because if I include it inside desc
我正在尝试用这个测试我在 Rails 中的更新操作: context "on PUT to :update" do setup do @countdown = Factory(:count
我还没有找到合适的答案: onclick="..." 中是否应该转义 &(& 符号)？ (或者就此而言，在每个 HTML 属性中？) 我已经尝试在 jsFiddle 和 W3C 的验证器上运行转义和非
import java.applet.*; import java.awt.*; import java.awt.event.*; public class Main extends Applet i
我是一名优秀的程序员,十分优秀！