我目前正在一个iPhone/Android项目上工作,移动端通过REST API调用与Java后端服务器通信。
Java后端使用Spring和其认证系统实现(带有JSESSION ID令牌)。
虽然我不是安全方面的专家,但我能看到如果没有正确实施可能会出现很多问题。
我的最大担忧之一就是用户创建。例如,当应用程序创建用户时,它只需向(url.com/rest/create)发出POST请求即可。
如何在服务器端避免恶意用户将此URL放入循环中并创建数千个用户?
保障API调用的常规最佳实践是什么?Spring认证令牌是否足够?
谢谢!