在服务器端验证移动应用程序

Question

我正在写一个需要与我们的服务器通信的iPhone应用程序。在服务器端，我正在写一个应用程序将与之交谈的PHP中的api。验证应用程序的最佳方法是什么，基本上限制对应用程序的访问并关闭其他人？

我需要一种方法来识别来自api的传入请求是来自我们api的合法请求。

我应该记住哪些其他安全问题并计算？

任何设计建议？

我目前正在研究oauth可以为我做些什么！

Answer 1

我认为您不需要 oauth ，因为它只会在您需要涉及三方的身份验证时帮助您。示例：您的应用验证 Fecebook 用户（此处有三方：您，Facebook用户和Facebook）。

我会确保你使用它：

1. HTTPS（绝不通过普通HTTP发送密码或敏感数据）
2. 将对您的用户进行身份验证的login.php脚本，并且在有效身份验证后，您的移动用户将生成access_token。
3. 您通过PHP提供的每项受限服务都会要求提供有效的access_token作为执行参数。
4. 确保access_token在您可能施加的某些时间或条件后过期。

Answer 2

看看大公司？ Google会为所有公共API使用API​​密钥，以便他们可以跟踪行为，并阻止他们进行滥用行为。

由于您的API可能不公开，因此可能需要更高的安全性，但您可能需要加密所有通信：＆lt;