Config.php安全性和Facebook密钥

Question

另一位开发人员如何让我们的应用程序保密，并使用它来执行HTTPS / API Banned请求，禁止我们的用户访问我们的应用。

1. 他如何获得密钥，我们只在服务器上的config.php文件中列出它。我们在服务器上找不到任何违规行为，并且config.php不可读或在任何地方显示。

2. Facebook提供的白名单设置会阻止黑客/开发者禁止，还是只阻止更改应用设置？

Answer 1

我建议您重置目前正在使用的App Secret，这样您就可以生成新的App Secret并限制损坏程度。

您可以使用根据documentation建议的Server IP Whitelist

  

我们还允许您将API调用限制为来自一组列入白名单的服务器。您可以通过转到应用程序仪表板中开发人员设置的高级部分来设置此白名单，并设置“服务器白名单”字段。

您可以进一步利用Update Settings IP Whitelist限制对应用设置的更改。引自documentation，

  

我们允许您指定必须用于更新应用设置的IP地址白名单。这有助于防止攻击，确保只有使用公司IP地址的开发人员才能更新设置。