java - 拥有动态属性，不易修改

Question

快速背景:我正在设计许可系统的某些方面。主应用程序可以被视为客户端“门户”，我们将在多个环境/客户端/等中安装多个版本的“应用程序”。

验证许可证的过程每天都会发生:客户端应用程序将向中央许可服务器发送一些数据，以检查许可证是否仍然有效。这还提供了一种从我们端将许可证列入黑名单或撤销许可证的方法。

我知道硬编码凭据是一个坏主意，这就是为什么我计划使此 REST“验证”步骤未经身份验证。当谈到 URL 时，我试图弄清楚如何使其灵活，同时又不让用户访问它。

如果我将 URL 放在属性文件中的某个位置，如果用户可以操纵该文件，他们就可以找到绕过/劫持每日许可证运行状况检查的方法。但是，通过锁定 URL，更改变得更加困难(需要将代码推送到客户端来更新 URL)，这似乎也是一个坏主意。

是否有一种方法或模式可以让这样的 URL 变得灵活、易于更改，但仍然安全并锁定到只有我的团队可以在 URL 更改时对其进行编辑的位置？同样的问题也适用于任何可能发生变化但仍需要应用某种锁定以防止用户篡改的属性。

Answer 1

我可以想到多种方法:

• 存储纯 URL 和哈希值(带有 secret 盐)，以便您知道有人篡改了 URL。

• 存储 URL 的加密版本

但我认为更重要的是您用于许可的协议(protocol)。无论 URL 指向哪里，您仍然可以通过添加主机条目来转移请求，因此我认为还需要做更多工作。