java - 验证 Java Web Start 客户端应用程序

Question

我有一个 Java Web Start 应用程序，它通过 Web 服务(通过 https)与我的服务器进行通信。我想将网络服务的使用限制为仅我的应用程序，以便第 3 方应用程序无法运行。

我有什么策略？这个问题有点宽泛，但是在 JWS 中运行会禁用一些选项，例如对所有 jar 进行校验和(至少我不知道在 JWS 环境中执行此操作的方法)。

我总是可以实现自己的身份验证方案，但由于客户端代码位于客户端，因此总是可以反汇编类文件并破解身份验证机制。

Answer 1

请记住，如果客户端通过 https 与服务器进行通信，则用户可以轻松地将 JWS 客户端替换为也通过 https 进行通信的其他客户端。 JWS 客户端可以发送来“证明”其身份的任何内容都可以很容易地伪造。您可以使用客户端证书(或许多其他类型的身份验证)来确保只有有权访问 JWS 客户端的用户才能连接，但他们始终能够从 JWS 客户端提取所需的内容来连接其他内容。

需要根据用户应被允许执行的操作来保护服务。