如何验证从应用程序到我的Web服务的请求的真实性

Question

我想申请手机/ iPhone / iPad。 在应用程序中，我想向Web服务发出HTTP请求。 如何确保此请求来自我的应用或桌面浏览器或移动浏览器。

用户可以更改＆＃34;用户代理＆＃34; HTTP请求标头中的字符串。

所以请任何人告诉我我们该怎么做？

Answer 1

你无法100％确定，你可以采取某些步骤几乎可以肯定。

• 首先在应用和服务器之间使用SSL，这样就没有人可以拦截流量。
• 然后创建一个在应用程序本身中进行硬编码的API令牌，并在每次请求时提供给API。然后，API会拒绝任何包含无效API令牌的请求。
• 使用自定义用户代理可以提供帮助，同时拒绝任何与用户代理不匹配的请求。

有许多事情可以让人们更难以发出API请求，但几乎不可能保证请求来自应用程序本身。只需确保使用某种“用户”正确保护所有API端点即可。身份验证，你应该没事。

我绝对建议您使用SSL，无论您做什么，就好像使用没有SSL的API密钥之类的东西，然后有人可以拦截请求并获取API密钥，使其无效。