ユーザー認証なしのWebサービスエンドポイントの保護

Question

私のシナリオは単純で、おそらく私だけではありません。私は自分のモバイルアプリケーションのいくつかを使用するWebサービスを持っています。私のウェブサービスは自分のモバイルアプリからしかアクセスできないようにしたいと思いますが、私は自分のアプリのユーザーがアカウントを登録するのを嫌うことはしません。どのように私はその種のセキュリティを達成することができますか？

私はAPIキーとOTPについて読んだことがありますが、それは本当に私を納得させるものではありません。

Answer 1

100％したいことはできません。その理由は、セキュリティがモバイルアプリにある場合、またはインターネットを介して移動する場合、誰かがあなたのコードを読んだり、トラフィックをスキャンしてモバイルアプリを偽装することが理論的に可能なためです。

しかし、簡単なサーバーサイドチェックで良好な結果が得られます。モバイルアプリケーションのEGは、バックエンドによってチェックされる変数をHTTP呼び出しに追加します。そして最も重要なのは、SSLを使用することです。サーバーからトークンを提供してから、すべての呼び出しでこのトークンを再度要求するなど、これをさらに複雑にすることもできます。

壊れないわけではありませんが、カジュアルなハッカーを阻止します。おそらく実装には10分しかかかりません。