java - 如何只能从应用程序发送请求

Question

我觉得这有点难以解释。基本上，我有一个连接到网络应用程序的安卓应用程序。我希望我从网络应用程序发出的请求不会在其他任何地方发出。顺便说一下，我正在使用 PHP。因此，如果说，我从一个名为“send_data.php?foo=bar”的 android 应用程序发出请求，我希望该请求不起作用，除非它确实是单独从 android 应用程序发送的。所以我不能只转到我的浏览器并输入“send_data.php?foo=bar”，它就会起作用。

我想到了一种方法，就是在我的请求中有一个 secret 值，比如“pw=12345”，然后在PHP脚本中，有if($pw = "12345")，但后来我认为有人可以通过数据包嗅探他们的手机并轻松获得该 secret 值。我有什么办法可以做到这一点吗？

Answer 1

我不认为这可以通过加密安全的方式来完成。手机应用程序本身是公共(public)数据，因此存储在应用程序内的任何 key 最终都是可嗅探的。

也就是说，您可以使用合理的长度来混淆 key 、以加密格式存储它、隐藏它所在的位置等。这可能足以达到您的目的。但重要的是要知道，这只是一个套壳游戏，应用程序中的 key 是不安全的，有动机的攻击者最终会提取它。

您可能会考虑的另一种方法是让用户进行身份验证，然后您就可以知道谁在连接，并且您可以将服务器响应基于此。用户身份验证具有很强的加密能力。