验证服务

Question

我使用flex作为我的前端，并希望只有该应用程序能够与我的网站/服务进行通信。建议实现这一点的方法。你可以看到的主要问题是安全性。

我的后端是php（cakephp / yii / normal php）。我也有移动应用程序主要是iPhone和Android，他们也需要我的PHP验证。

Answer 1

您最好的选择是识别用户，而不是应用。如果您可以通过常规登录，Cookie，会话等确定注册应用程序的用户，则在大多数情况下您无需担心客户端。

如果这对你不起作用，那么通过盲目安全是最好的解决方案。典型的解决方案是在应用程序中包含某种类型的密钥，该密钥可以发送到服务器，并可用于为每个请求创建哈希签名（例如HMAC-SHA1）。这样做的缺点是密钥一旦破解就可以轻松分发。

难以破解的策略是做一些模糊的事情，如果模式不匹配则拒绝访问而不通知。例如。总是在发送请求A后发送不明确的请求B，其中n是客户端的次要版本。用你的想象力。