javascript - 在没有 token 的情况下保护 API 调用

Question

我正在使用 PHP 构建一个应用程序和一个 API 端点(我知道你在想什么!)。我的问题是，如果我在第一次打开应用程序时要求用户输入用户名和密码，因为我无法在本地存储这些详细信息，因为它们可能会被泄露。我会通过 Post 请求将这些发送到服务器，然后根据用户是否正确生成一个 token 。收到回复后，我必须在本地存储此 token 吗？是的!。 token 已过期。 token 过期后，我不想询问用户的姓名和密码，但想访问仍以该用户身份进行身份验证的 API。我将如何做到这一点？

如果我使用 Oauth，它仍然是相同的程序，对吗？我应该在本地存储一些东西。那不会妥协吗？我很困惑。

其他应用程序如何工作。我确定他们在后台做某事。他们只要求我们提供一次凭据，所有后续 API 调用都将受到保护。在那种情况下 token 不会过期还是什么？

我可以在不在本地存储任何内容的情况下保护 API 调用吗？我不希望从应用程序以外的任何地方访问 API。

Answer 1

使用安卓 SharedPreferences。它应该是非常安全的，除非你故意暴露它，例如它可以通过 list 中缺少 (android:exported="false") 的导出内容提供程序访问。您也可以使用 sqlite，但没有必要为一两行数据使用 db 表。您还可以加密用户名和密码以增加一个安全层来保护 root 用户。
此外，为了保护网络中的数据，您应该在后端使用 ssl，这样就没有人可以嗅探凭据。