security - 移动到服务器API安全

Question

我的任务是设计一个系统，使我们的用户也可以登录他们的帐户并使用他们的手机与我们的服务进行交互。我担心应用程序的安全性。

基本上，我们允许人们使用Facebook或Twitter通过OAuth登录。移动应用程序(使用Appcelerator Titan构建)也应该这样做。在电话上成功登录后，我需要通知我的应用程序有人通过FB或Twitter登录，以便我的应用程序可以检索用户特定于应用程序的用户ID。

我的第一个想法是编写一个电话可以调用的API，该API可以接受诸如Facebook或twitter userId之类的参数。我将查询数据库并找到其内部用户ID，然后将其返回电话。

这可以正常工作，但是完全不安全。任何人都可以使用Facebook用户ID来访问相同的API，并且该API只会返回内部ID(以及应用所需的任何其他数据)，而无需知道请求是否被授权。

这是我的第一个移动应用程序，因此我不确定在API上实现安全性的正确方法。

Answer 1

大多数API设置都包括某些类型的secretKey或APIKey，这对于开发人员是唯一的。由于您是唯一的开发人员，因此您只需在移动应用程序中设置 key /哈希即可，还可以通过 key /哈希来成功返回数据。

http://lcsd05.cs.tamu.edu/slides/keynote.pdf是Google关于从头开始设计良好API的主题演讲。

还要看看这个previous question