security - 确保 Grails REST 服务与移动应用程序一起使用的安全

Question

我正忙于研究如何在移动应用程序中使用 REST 服务，希望能得到一些见解。场景如下。

考虑一个为用户提供服务的 Web 应用程序。 Web 应用程序也将成为用户的主要交互点。这将在 Grails 中完成，并使用 Spring Security 进行保护。

现在，我们希望提供REST服务，以便用户可以通过移动应用程序使用该服务。由于 Grails 对现有 Web 应用程序 RESTful 提供了很好的支持，因此我们将使用内置的 Grails 支持。

我现在的问题是，保护 REST 服务接口(interface)的“最佳”方法是什么，以便可以从移动应用程序( native - iOS、Andriod、WM7、BB)中使用它。

交换的信息高度敏感，因此越安全越好。

谢谢

Answer 1

我们决定将 grails 项目分成三个...

• model-domain-project(这是“管理”部分，其中包含所有 View / Controller 脚手架以及所有服务、域)
• 网络应用程序(这是主应用程序、 Controller 、 View )
• api-rest-app(这是其余 Controller )

model-domain-project 是一个插件，它插入到 web-app 和 api-app 中，包含域模型、服务以及所有数据库安全、事务等。

Web应用程序是所有的html模板、 View 和 Controller ，这里我们使用Spring Security的属性

我们正在使用 grails-filters 的 api-rest-app，并且我们正在通过带有带有到期日期的 token 的 https 来使用基本授权...

如果 token 的到期日期已到，您将必须使用我们与第一个 token 一起发送给您的“请求 token ”来请求另一个 token ...(它或多或少类似于 oauth2)

要获取前两个 token ，您必须使用用户/电话/密码登录来确认设备，然后您将通过短信收到一个 key ，您必须在应用程序中输入该 key

不知道这是否是最好的方法，但这是我们这样做的方式......

有时我们使用网络应用程序作为客户端并调用 api-rest-app...