管理者アクションのモバイルアプリケーション認証

Question

ユーザーがゲームをプレイしているアプリケーションを開発しています。完了すると、その結果はPOSTリクエストを通じてバックエンドに送信されます。このPOSTリクエストは、このエンドポイントを見つけた人が手作業で行いたいのではありません（結果を混乱させます）ので、アプリケーションを介してのみ行うことができるように制限する方法が必要です。しかし、このアクセスを提供するトークンをハードコードするのは安全ですか？ この問題を回避する正しい方法は何ですか？

Answer 1

ハードコードされたトークンを使用することはお勧めしません。トークンが侵害された場合は、サーバーとクライアントを変更する必要があります。

1つの基本的なユーザー名/パスワードシステムを持つsslを使用するJWTとして、ある種の認証メカニズムをお勧めします。