cordova hot-code-pushプラグインセキュリティ

Question

cordova-hot-code-push cordovaプラグインを確認しています。自分のサーバーで自分のリリースをホストしたいと思っています。誰かだけでなく、ホストされた場所からファイルをダウンロードしてプラグインと連携して動作させることができるように、セキュリティを使用する方法はありますか？

Answer 1

手動でfetchUpdate（）メソッドを呼び出すときは、認証ヘッダーを使用できます。

var options = { 
    'config-file': 'https://example.com/chcp.json', 
    'request-headers': { 
    'Authorization': 'Basic ' + (new Buffer("username:password").toString('base64')) 
    } 
}; 
chcp.fetchUpdate(updateCallback, options); 

function updateCallback(error, data) { 
    // do some work 
} 

アプリコードを調べてもコードをダウンロードできるユーザーとしては最も安全な方法ではありません。

私が個人的に心配していたのは、誰かがあなたのアプリを「偽装」する能力です。つまり、真ん中の人間があなたのアプリケーションを完全に乗っ取ることができるからです。

!! - > HTTPSを使ってください。

また、MITMを完全に停止することはできません。

ここで読む参考：

https://github.com/nordnet/cordova-hot-code-push/wiki/Fetch-update

https://en.wikipedia.org/wiki/Basic_access_authentication