Валидация услуг

Question

Я использую flex в качестве внешнего интерфейса и хотел бы, чтобы только это приложение могло взаимодействовать с моим сайтом / службой. Предложите способ реализовать это. Как вы можете видеть, моя главная забота - это безопасность.

Мой бэкэнд - php (cakephp / yii / normal php). У меня также есть мобильные приложения, в основном iPhone и Android, и они тоже должны быть проверены моим php.

Answer 1

Ваш лучший вариант - идентифицировать пользователя, а не приложение.Если вы можете определить пользователя, который зарегистрировал приложение через обычный вход в систему, файлы cookie, сеанс и т. Д., Вам не нужно беспокоиться о клиенте в большинстве случаев.

Если это не сработает для вас, безопасность через неизвестность - лучшее решение.Типичное решение - включить в приложение какой-то ключ, который отправляется на сервер и может использоваться для создания хэш-подписей (например, HMAC-SHA1) для каждого запроса.Недостатком этого является то, что ключи могут легко распространяться после взлома.

Более сложная стратегия - это сделать что-то неясное и запретить доступ без уведомления, если шаблон не соответствует.Например, всегда отправляйте скрытый запрос B n секунд после отправки запроса A, где n - младшая версия вашего клиента.Используйте свое воображение.