java - 如何安全地建立基于谷歌应用引擎的两个应用程序之间的通信？

Question

我们遇到了两个在 google app engine (java) 上制作的应用程序，我们需要在它们之间建立安全通信。基本上我们有:

APP1:“公共(public)”APP，根据 JSON 格式的请求提供 JSON 格式的数据。数据是私有(private)的，仅受特定请求的约束。

APP2:“内部/非公开”APP，以 JSON 格式向 APP1 请求数据并需要接收 JSON 格式的响应。

上面的场景运行良好，我们让两个应用相互通信。但是，我们需要这种通信是安全的，并且我们需要识别(授权和身份验证过程)真正向 APP1 请求数据的是 APP2。

我们想了很多方法，但我们还没有找到最终的解决方案，我希望有人已经实现了类似的东西。

1)我们想到了使用oAuth，构建一个“Provider APP”，让APP2通过这个provider订阅我们的APP1。我们考虑这个解决方案的原因是，也许将来我们会允许第三方应用程序 (APP3) 在订阅模式下使用来自 APP1 的数据。

问候。

Answer 1

从一个应用程序到另一个应用程序的请求将始终将 X-AppEngine-Inbound-AppId header 设置为原始应用程序的 AppID。此 header 不能由其他应用程序或外部服务伪造 - 它已被 App Engine 系统净化。

不过，作为编者注，将您的应用程序分成两个独立的应用程序很少是个好主意，除非您确实拥有可以被外部服务同样很好地使用的 API。在内部组织应用的职责通常效率更高，并且在分离关注点方面同样有效。