api - 如何保护API？

Question

Client Side app <--> Backend <--> API

这是从其他客户端应用程序访问安全 API 的正确方法吗？如果是，为什么我们需要 API？我们可以直接使用Backend来获取并处理数据，然后发送回客户端。您能解释一下吗？

注意:

上面简单图的意思是，客户端应用程序向后端发出请求，然后后端向 API 发出请求。

Answer 1

您无法保护 API 免受其他客户端应用的侵害。您在请求中发送的任何表示“嘿，我已获得授权”的神奇内容都必须是应用程序的一部分，在这种情况下，可以对其进行逆向工程。您可以做的是授权用户 - 用户可以通过一些 secret (例如用户名和密码)登录，服务器可以发回一个 secret 代码作为响应，客户端将在以后的请求中发回该代码。该密码对于每个用户来说都是不同的。这样做，并通过加密连接(HTTPS)来完成，这就是您在这方面可以做的最好的事情(有一些小细节，例如旧代码过期和轮换它们，但它们都是围绕这个想法的实现细节)。

您可以授权用户而不是应用程序的原因是，用户拥有反编译应用程序的人无法获取的 secret ，因为它不在那里 - 它在用户的头脑中。否则，就无法知道应用程序是否真正获得授权，或者是否有人反编译并窃取了您的 secret 。