Java servlet : only allow own client

Question

我正在开发一个小的服务器端 api 来与 java 客户端一起使用(我也写过)。

API 是用 jersey (RESTful) 编写的，并在 tomcat 服务器上运行。它提供的数据以 Json-String 形式传递给客户端，所有通信均通过 Http 执行。

我现在想确保只有我自己的客户端程序能够访问该api(目前，因为它的http，每个人都可以通过普通浏览器接收json数据)。因此，我正在寻找一种方法来使用 key 或类似的东西“识别”我的客户端程序到API。我首先考虑使用用户代理进行识别，但这很容易被复制。所以我需要某种动态变化的 key 或类似的东西。

有什么好的方法吗？

我在网上搜索，但没有找到正确的答案(可能是错误的关键字？)，所以我对有关该主题的每个提示和/或链接感到高兴。

<小时/>

编辑:客户端程序是一个 Android 应用程序。我想确保没有人创建类似的应用程序并使用我的服务器来达到他的目的。

Answer 1

如果攻击者拥有客户端，则几乎没有最终不会受到损害的安全性。

双向 SSL 身份验证(客户端和服务器证书)是一个很好的开始，相当开箱即用。这是开箱即用的支持，并且需要很少的代码更改。