我是否需要担心移动应用上的垃圾邮件？

Question

我想知道垃圾邮件发送者是否具备下载，抓取和垃圾邮件移动应用的能力，就像他们为网络应用做的那样。更具体地说，是否有必要在Web应用程序必须的范围内对用户进行身份验证？ （即发送给用户电子邮件的验证码或验证链接）

我们非常感谢您提供的任何见解，甚至是有关此主题的其他信息的链接。谢谢！

另外，如果有帮助，这里有一些更具体的信息：

我有一个现有的网络应用程序，目前正在编写iphone / android应用程序作为Web应用程序的扩展。网络应用和移动应用使用相同的数据库信息。

在我的网络应用中，我要求用户在填写“创建帐户”表单后点击其电子邮件中的链接以激活其帐户。但是，我希望用户能够在移动应用程序上创建一个帐户，但绝对不希望他们必须退出应用程序以检查他们的电子邮件以点击链接。理想情况下，他们可以在移动应用上创建一个帐户并立即开始使用它。

我担心自动垃圾邮件机器人可能会创建虚假帐户，而无需对移动应用程序进行任何验证，从而垃圾邮件发送到网站。任何登录用户都可以添加可供所有人查看的内容。因此，即使像Twitter这样的网站允许用户在他们的移动应用程序上创建帐户并在验证电子邮件地址之前开始使用它，如果垃圾邮件机器人能够下载我的应用程序，创建帐户和发布内容，那么我需要找到另一种方式。

Answer 1

应用程序中的垃圾邮件不可能，或者至少不合理。至少对于iPhone来说，每个Spambot都必须安装一个越狱的iOS设备。这听起来太贵了 至于Android，理论上它是可能的，但目前不太可能。我建议一开始没有激活，只是看一下网站。无论如何你应该这样做 我们为社交网络应用程序所做的是允许第一个（但只有第一个）会话，并要求激活所有连续的会话。

Answer 2

无论机器人是否有能力下载您的应用程序，如果有人想要，他们可以自己下载您的应用程序，然后开始创建垃圾邮件帐户。然后，您的网络应用上的垃圾邮件机器人可以使用这些帐户。您应该保持现有的安全模型。

开发人员允许移动注册的一种相当流行的方式是将用户发送到您的网站进行注册。这样，您就不必担心将安全性重复到多个移动应用程序中。

Answer 3

我发现这家公司（http://www.pindropsecurity.com/）为移动应用程序提供安全保障......大多数应用程序（尤其是消息和营销应用程序）都要求您添加电话号码才能创建帐户。如果垃圾邮件发送者输入与垃圾邮件/欺诈活动相关的号码，他们就可以将所有垃圾邮件/欺诈活动一起阻止。许多应用程序和营销公司正在捡起它。

Answer 4

我认为唯一可以回答此问题的人就是垃圾邮件发送者本身。然而，考虑到垃圾邮件制造者/黑客似乎跟上技术的步伐，我会说他们找到一种方法来垃圾邮件你的应用只是时间问题，如果它们还不能。

Answer 5

至少为您的应用创建帐户使用更安全的HTTPS，否则有人可能会在空中嗅探您的协议并模仿它。