转载

发表于 2016年04月10日
浏览 (692)
评论 (0)

关于手机app之api认证

出于安全考虑，近期推进一次app和api间通讯的认证的流程。舍弃了app认证这种思路，走的用户授权的思路。

具体流程如下:

就是app第一次启动时，向服务器请求获得 accessId 授权id, accessToken 授权token, accessExp 授权过期时间。
接口请求的时候，将参数，时间戳， accessToken 哈希，作为sign附加在参数上。（如果上https，只要将accessToken附加返回就好了）
当用户登录的时候，将用户id和 accessId 关联,存于服务器端。
操作用户数据接口获取到用户id后校验和 accessId 关联的用户id比较是否一致。
以后手机启动的时候，拿保存的 access 信息，请求更新接口，获取新的 access 信息。

考虑的安全问题：

数据私密性，让数据在传输过程中不可见，避免偷窥狂，解决办法是上https，第一期不做。
数据完整性，防止数据发出后被篡改，解决办法是上https，第一期特么不上https，第二期又不知道在哪里。所以，将所有参数，加上时间戳，和 access_token 拼接后进行hash得到sign，附加在请求里面。服务端对sign进行校验。保证参数不被篡改。
请求幂等性，一个请求只请求一次有效，例如A给B转账，这个请求调用多次，只会转账一笔。通过 accessId ,接口，时间戳作为唯一判断来避免重放。
密钥泄漏，app被反编译，密钥丢了怎么办，所以舍弃app授权，改用对用户授权。
内存修改器，app如果直接持有 memberId 与服务端通讯，假如 memberId 被修改，防线瞬间就瓦解了，所以不以app持有的 memberId 为凭证，而是以 accessId 关联的 memberId 为准。

原文 http://www.toozy.cn/api-authorization/

正文到此结束

所属分类：编程技术

本文标签： 数据安全密钥 Authorization http https 参数认证 App 编译时间服务器 API
版权声明： 本文为互联网转载文章，出处已在文章中说明(部分除外)。如果侵权，请联系本站长删除，谢谢。
本文海报： 生成海报一生成海报二

热门推荐

openfire数据库安装指南

浏览(13,615) 评论(0)
Caffe 深度学习框架上手教程

浏览(10,362) 评论(0)
ReactiveCocoa入门教程：第一部分

浏览(11,197) 评论(0)
开源HIDS-OSSEC使用实例:监测CC攻击

浏览(11,087) 评论(0)
Decorators in ES7

浏览(15,645) 评论(4)
用Electron（Atom编辑器的兄弟项目）开发桌面应用

浏览(28,668) 评论(0)
Windows下JetBrains CLion中文输出乱码的解决方法

浏览(12,115) 评论(1)
同步-@synchronized, NSLock, pthread, OSSpinLock性能比较

浏览(11,093) 评论(0)
Seaweedfs之Volume读请求重定向

浏览(25,363) 评论(3)
HTML、CSS及JavaScript ：有Promise，不会搞大肚子

浏览(13,228) 评论(0)

相关文章

阿里云首购8折

Loading...

其他链接

关于本站

本站定位：个人技术类博客

本站作用：写博客、记日志、闲聊扯淡鼓捣技术。

问题交流

[HBLOG]公众号

HBLOG

HBLOG