验证Android应用程序用户的最佳方法是什么？

Question

我正在开发一个Android应用程序，需要用户先注册我们，然后才能访问。用户将获得的信息将非常敏感，因此我需要一种安全的方法来执行此操作。在使用Android之前，我从未使用过这样的身份验证功能，但是当我必须为Web应用程序执行类似操作时，我会将密码MD5存储在MySQL数据库中。但我认为这不是一个相当安全的方法，是吗？

在验证用户身份时，我该怎么做才能确保用户的安全？

另外，我可以在这里使用oAuth吗？

Answer 1

是的，您可以在Android上使用oAuth。您应该查看官方的Android oAuth2培训http://developer.android.com/training/id-auth/authenticate.html

如果您决定实施自己的身份验证方法，那么存储密码将非常棘手。 MD5是不安全的，SHA-256与盐腌可能就足够了。在这个方案中，你存储两件事：

1. 密码hash = SHA（密码+盐）
2. 随机字面的盐。

可以在this page

上找到有关此主题的详细教程和大量详细信息

如果您必须处理高风险数据，我建议您联系可以帮助您创建适当解决方案的安全专家。如果你在没有经验的情况下自己做，那么你最有可能会失败。