我有一个REST服务,它非常完整并将被用于iOS应用程序。它使用Ruby/Sinatra构建,但我认为这并不重要。
我正在使用基本的HTTP身份验证加上SSL来保护各个端点,这部分工作非常出色。
问题是:如何防止垃圾邮件发送者等呼叫未受到HTTP基本身份验证保护的REST服务部分?
例如:用户注册
假设REST调用是(POST) ... /register_account,在请求主体中传递JSON对象。
由于明显的原因,此调用不能期望用户名/密码与用户帐户关联。
想法:
1)该应用程序拥有自己的“用户名”/密码,并且某些调用将检查应用程序凭据。 问题:对设备进行root操作等可能会暴露这些凭据。
2)该应用程序通过HTTP头传递秘密令牌到REST服务以进行这些调用。 问题:与(1)相同
是否有常用的技术可以防止此类垃圾邮件呼叫?我考虑可能将iPhone的设备ID引入其中,但尚未确定明确的方法。
谢谢