api - 在没有登录名/密码的情况下“保护” API的最佳做法

Question

我有一个可以用一些UID标识的客户端应用程序。
我有一个后端服务，客户端应用程序需要调用该服务才能检索一些列表。
确保该后端服务安全的最佳实践是什么？我不想通过登录名/密码来保护（因为不需要客户端“登录”以检索列表），但是，我不希望任何人轻易地调用此后端API并出于自己的目的检索那些列表。
将客户端视为自定义Flash客户端或移动客户端等。
通信是通过HTTP REST进行的。
有任何想法吗？

谢谢

更新：对不起，忘了提及-不使用SSL。基本上我在这里寻找一些算法/策略的想法。感谢您的建议！

Answer 1

这里的总体思路是，您将使用HTTPS，并将客户端配置为使用X.509证书对API的请求进行签名，该API由API提供商通过某种其他安全方法颁发给他们。服务器也将具有此证书（或者更好的是客户端证书是其子证书的证书），并且可以验证传入请求是否使用该证书进行了签名。这是服务器到服务器通信的相当标准。如果您要构建一个供最终用户在本地运行的应用程序，那么这将不起作用，因为一个坏人很容易从客户端应用程序中提取此证书并破坏整个方案

有很多关于如何配置此技术的特定于技术的文章，您还没有指定要使用的堆栈，但这是一篇通用文章，目的只是为了证明我没有在编造这些东西:) http://www.ibm.com/developerworks/lotus/library/ls-SSL_client_authentication/