保护我的REST API只与我的应用程序一起使用？

Question

我想在服务器上构建REST API。说api.xyz.com，它将包含一个基于jwt的用户身份验证系统。我想建立不同的客户。说一个用于android，一个用于web应用。如何阻止其他人在其客户中使用我的路线？有什么办法吗？我应该改变我的设计原则来实现这一目标吗？

Answer 1

您可以通过在主域和API子域之间共享身份验证Cookie（如果它涉及网站）来实现此目的。

在应用程序方面解决此问题的常用方法是使用基于令牌的身份验证系统，例如OAuth，目前版本为2。