authentication - 如何在没有用户凭据的情况下验证移动应用程序？

Question

我有一个与 API 交互的手机游戏。我希望此 API 只能从此移动应用调用。解释起来很简单，但另一方面，它的简单性使其困惑。

没有用户，因此没有用户凭据。这是一个从 API 请求图像的开放式游戏。

我不想实现的事情:

1. Hardcoded secret/apikey/token 等 -> 无需硬编码
2. 一次性密码-> 没有通过短信、电子邮件、推送通知或任何用户交互的 OTP。
3. Device ID 或 Advertising ID -> 很好的解决方案，但任何其他应用程序也可以获得此 ID，然后调用我的 API。另外，任何攻击者都可以发送任何东西作为设备 ID，对吧？那么，如何验证此设备 ID 是否是现有设备的真实标识符？

使用 Unity3D 开发的游戏。API 由 AWS API Gateway 和 Lambda 组成。我正在考虑使用 AWS Cognito 作为身份验证服务器。

谢谢你的想法!

Answer 1

我还没有完成这个确切的实现，但我认为您可以执行以下操作:

1) 配置您的 API 网关以使用 IAM 身份验证 (https://aws.amazon.com/premiumsupport/knowledge-center/iam-authentication-api-gateway/)

2) 使用 Cognito，您应该配置您的身份池以允许未经身份验证的用户并相应地调整您的 Cognito 未经身份验证的身份的权限(此处的一些信息:https://docs.aws.amazon.com/cognito/latest/developerguide/identity-pools.html)

3) 您可以使用 Amplify SDK 在您的应用程序中检索未经身份验证的用户的临时 AWS 凭据并访问您的 API 网关(这里的好步骤:https://github.com/aws-amplify/amplify-js/issues/711#issuecomment-414100476 更多关于 Amplify 的信息:https://docs.amplify.aws/)