是否提供加密安全令牌，仅适用于Web服务足够安全的一个请求？

Question

我正在创建一个处理敏感数据的REST服务。它将通过SSL，并且所有双向的请求内容都将被另外加密。

对于授权，我计划制作它，以便客户端最初登录并获取令牌，然后他们必须在下一个请求时提供此令牌。他们所做的每一个请求都会返回一个新令牌。每个令牌只能使用一次。

这是一个足够安全的授权方案吗？我已经研究过其他技术，例如亚马逊如何为AWS做这件事，但似乎请求签名增加了很多复杂性。

Answer 1

SSL-without-additional-encryption足够安全。您可以验证服务器是否提供特定证书，而不是“受信任CA签署的任何证书”，以抵御MITM攻击。有时请求是与HMAC签署的;秘密通过SSL传输，然后后续请求以未加密的方式传输但签名。 HMAC请求签名并不复杂，但如果您通过SSL传输所有内容（不仅仅是初始秘密），那么就没有意义了。