rest - 授权 REST 请求

Question

我正在开发一个有一些要求的 REST 服务:

它必须是安全的。

用户不应该能够伪造请求。

我目前提出的解决方案是有一个看起来像这样的自定义授权 header (这与亚马逊网络服务的工作方式相同):

Authorization: MYAPI username:signature

我的问题是如何形成签名。当用户登录到服务时，他们会获得一个 key ，他们应该能够使用该 key 对请求进行签名。这将阻止其他用户代表他们提交请求，但不会阻止他们伪造请求。

将使用此服务的应用程序是一个 iPhone 应用程序，所以我想我们可以在应用程序中嵌入一个公钥，我们可以用它来做一个额外的签名，但这是否意味着我们必须有两个签名，一个用户 key 和应用程序 key ？

任何建议将不胜感激，我很想第一次就做到这一点。

Answer 1

答案很简单:做不到。一旦您向最终用户提供任何解决方案，他或她就可以随时攻击与之通信的服务器。此问题最常见的版本是在 Flash 游戏中使用高分列表作弊。您可以通过在客户端中嵌入某种加密并混淆代码来使其更难......但是所有编译和混淆的代码都可以被反编译和不混淆。这只是你愿意花费多少时间和金钱的问题，同样的还有潜在的攻击者。

因此，您关心的不是如何尝试防止用户向您的系统发送错误数据。这是如何防止用户损坏您的系统。您必须设计您的界面，以便错误数据造成的所有损害仅影响发送它的用户。