Защита флэш и php (AMF) связи - PullRequest
0 голосов
/ 10 июня 2011

В настоящее время я создаю веб-приложение Flex 4 с использованием PHP в качестве внутреннего интерфейса. Я использую AMF, чтобы позволить приложению backend и flex общаться друг с другом.

Как я могу защитить свою конечную точку AMF? Пользователи могут просто декомпилировать мое гибкое приложение, найти URI для моей конечной точки и вызвать методы. Мне нужно убедиться, что все вызовы к конечной точке выполняются из моего приложения.

Я бы хотел предотвратить что-то подобное: http://musicmachinery.com/2009/04/15/inside-the-precision-hack/

Каковы наилучшие способы достижения этого?

Спасибо:)

1 Ответ

1 голос
/ 10 июня 2011

URL не важны. Их очень легко найти из любого веб-приложения, и, тем не менее, оно все еще необходимо, чтобы иметь к ним публичный доступ. Есть несколько вещей, которые нужно сделать, во-первых, если вы заинтересованы в самой безопасности данных, вы, вероятно, захотите, чтобы ваш сервер работал по протоколу https вместо http. Однако, если безопасность данных не имеет решающего значения (и часто это не так), вам просто нужно иметь быструю и грязную систему аутентификации.

Я уверен, что вы можете найти много статей в Интернете или даже фреймворки, созданные для аутентификации для php. В прошлом, когда мне требовалась очень простая аутентификация, мой клиент отправлял имя пользователя и пароль SHA1 в открытую функцию аутентификации на php, которая затем создавала, сохраняла и возвращала идентификатор сеанса. Этот идентификатор сеанса будет тогда параметром first всех остальных функций php. Эти функции будут проверять DB, чтобы увидеть, существует ли ID сеанса или все еще действителен (15-минутная отметка времени с момента последнего использования), и если это так, продолжайте работу с функцией.

Это очень упрощенный способ работы, который подойдет многим небольшим веб-сайтам. Если вам нужна дополнительная безопасность, отправьте все это через https, чтобы снифферы не могли получить идентификатор сеанса, передаваемый по проводам. После этого вы переходите к корпоративной безопасности, которая, вероятно, излишня для того, что вы хотите сделать, и обойдется вам в руку, ногу и левое яичко: P

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...