无需用户名和密码即可确保移动应用和RESTful服务之间的通信安全

Question

如果可以在移动应用和ASP.NET web api服务之间进行通信而无需用户使用用户名和密码进行身份验证，我一直在努力解决问题。这很重要，因为我的应用的用户根本不会登录，也永远不会。当然，所有流量都将通过HTTPS发送。

这意味着我无法使用OAUTH或BASIC身份验证来验证流量，因为这些流量需要凭据。

因此，我需要一些方法来安全地存储打包在应用程序中的某种身份验证令牌，只有在需要与服务器通信时才能访问，并且无法发现＆＃34;＆＃34;一个坚定的黑客。

这当然是不可能的。

感谢。

Answer 1

一般来说，这是不可能的。您的服务器永远不应该信任它的客户端。黑客可以检查您的客户端应用程序并创建等效的应用程序。

但如果你：

，你可以让黑客的生活更加艰难

1. 使用HTTPS的自定义cliest sertificat，查看here。
2. 在http请求中使用临时访问密钥。应用程序应该请求新的临时访问密钥您的服务器。密钥服务器的一部分将作为响应发送，另一部分将通过Cloud Messaging发送。以一些非平凡的方式组合键的一部分。
3. 模糊您的应用。