我目前正在构建一个Android应用程序，用于从我的后端服务器请求数据。当然，我想知道我的服务器上收到的请求是否真的来自我的应用程序，或者是否有人只是从其他服务器发送HTTP请求等等。我在这个主题上阅读了Tim Bray's article，但想知道这种方法有多安全真的是。文章提到root设备可能会危及安全性，但我在考虑以下场景：
GoogleAuthUtils 我知道假应用程序的签名会有所不同（因为恶意的人没有我的私钥）并且无法从Play商店下载（因为那里不能发布具有相同包名的两个应用程序）
如果设备没有root权限：这个假应用是否与我的真实应用程序获得GoogleAuthUtils.getToken()相同（或任何）的结果？
黑客可以对根设备上的响应应用哪些可能的更改（我也可以问：响应的哪些字段是由Google签名的，以便我可以检测它们是否被取消）？
答案 0 :(得分：1)
我没有测试过......但我会说getToken因为错误的签名而不会得到任何结果......
如果没有用于与应用程序一起签署应用程序的证书指纹，则无法在google开发人员控制台中创建oauth客户端。
这就是为什么我会说如果恶意的人没有你的发布密钥库和私钥，getToken就不会收到任何关键
修改 PS：我知道......这只回答了你的一个问题......
<强> EDIT2： 我已经测试了它，并且可以获得带有错误签名的有效令牌。如果更改了签名，我会得到以下异常：
03-17 18:08:05.195 3315-3498/org.example.myapp E/GoogleOAuthTask: Error getting token
com.google.android.gms.auth.UserRecoverableAuthException: NeedPermission
at com.google.android.gms.auth.GoogleAuthUtil$1.zzam(Unknown Source)
at com.google.android.gms.auth.GoogleAuthUtil$1.zzan(Unknown Source)
at com.google.android.gms.auth.GoogleAuthUtil.zza(Unknown Source)
at com.google.android.gms.auth.GoogleAuthUtil.zza(Unknown Source)
at com.google.android.gms.auth.GoogleAuthUtil.getToken(Unknown Source)
at com.google.android.gms.auth.GoogleAuthUtil.getToken(Unknown Source)
at com.google.android.gms.auth.GoogleAuthUtil.getToken(Unknown Source)
at org.example.myapp.shared.security.authentication.google.GoogleOAuthTask.doInBackground(GoogleOAuthTask.java:39)
at org.example.myapp.shared.security.authentication.google.GoogleOAuthTask.doInBackground(GoogleOAuthTask.java:20)
at android.os.AsyncTask$2.call(AsyncTask.java:288)
at java.util.concurrent.FutureTask.run(FutureTask.java:237)
at android.os.AsyncTask$SerialExecutor$1.run(AsyncTask.java:231)
at java.util.concurrent.ThreadPoolExecutor.runWorker(ThreadPoolExecutor.java:1112)
at java.util.concurrent.ThreadPoolExecutor$Worker.run(ThreadPoolExecutor.java:587)
at java.lang.Thread.run(Thread.java:841)
然后我做了这样的事情来获得权限对话框：
try {
token = GoogleAuthUtil.getToken(context, emails[0], "oauth2:profile email");
GoogleAuthUtil.clearToken(context, token);
} catch (final UserRecoverableAuthException e) {
final Intent intent = e.getIntent();
context.startActivityForResult(intent, MyApplicationRequestCodes.SECURITY_OAUTH_PERMISSION);
} catch (final GoogleAuthException e) {
Log.e(LOG_TAG, "Error getting token", e);
} catch (final IOException e) {
Log.e(LOG_TAG, "Error getting token", e);
}
在对话框之后返回活动时我做了这个：
@Override
public void onActivityResult(int requestCode, int resultCode, Intent data) {
Log.d(LOG_TAG, "returning from an activity. (requestCode=" + requestCode + ", resultCode=" + resultCode + ", data=" + data.toString() + ")");
if(requestCode == SECURITY_OAUTH_PERMISSION && resultCode == RESULT_OK) {
login();
}
if(requestCode == SECURITY_OAUTH_PERMISSION && resultCode == RESULT_CANCELED) {
authenticationHandler.onUserCanceled(new AuthenticationError(
AuthenticationErrorEnum.USER_ERROR,
"User closed permission dialog."
));
}
login（）然后再次启动相同的过程，然后我收到一个VALID令牌，我可以再次验证由谷歌令牌保护的另一个API。在我的例子中，它是一个firebase数据库。
从firebase我得到了身份验证结果（）：
AuthData{uid='google:123412341234333', provider='google', token='***', expires='1458340206', auth='{uid=google: 123412341234333, provider=google}', providerData='{id=987234987032972034097234, accessToken=I_REMOVED_THE_TOKEN_STRING, displayName=Stefan Heimberg, email=kontakt@stefanheimberg.ch, cachedUserProfile={id= 987234987032972034097234, email=kontakt@stefanheimberg.ch, verified_email=true, name=Stefan Heimberg, given_name=Stefan, family_name=Heimberg, picture=https://lh4.googleusercontent.com/--XEA5G7LkjI/AAAAAAAAAAI/AAAAAAAAAAs/dpvdzBNpd6U/photo.jpg, locale=de}, profileImageURL=https://lh4.googleusercontent.com/--XEA5G7LkjI/AAAAAAAAAAI/AAAAAAAAAAs/dpvdzBNpd6U/photo.jpg}'}
所以，最后我必须说，即使签名与谷歌控制台中配置的不同，也可以获得有效的令牌。
但是在我更改签名后，我的应用程序必须处理com.google.android.gms.auth.UserRecoverableAuthException并重新启动整个登录过程。