检查请求是否由Ionic应用程序发出

Question

4

现在我们有一个几乎完成的Ionic项目，带有php后端。为了使后端更加安全，防止外部干扰，我们想要将后端仅限于Ionic项目内（原生应用）访问。我尝试通过域名限制来实现，但由于原生应用没有域名，这种方式行不通。

由于对如何处理此问题毫无头绪，因此我无法展示任何代码。

提前致谢。

- Frank W.

3

你是否考虑过在每个请求的头部发送一个唯一的令牌？JWT 通常用于身份验证，但实际上可以携带任何你想要的信息，你可以在服务器端验证它并继续处理请求。 - Ian

我不太确定这个流程会是什么样子。当然，我可以在服务器端进行验证，但我无法直接在应用程序中生成一个。 - Frank W.

1

当您加载应用程序时，您会获取令牌并将其本地保存，然后在需要更新令牌时进行更新（JWT在x时间后到期）。 - Ian

1个回答

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- Scott Arciszewski · Accepted Answer

我们希望仅从ionic项目（原生应用程序）内部访问后端。鉴于逆向工程的存在和DRM的徒劳无功，严格来说，您所要求的是不可能实现的。任何人都可以获取您的应用程序，使用免费提供的工具分析其代码/行为，并编写自己的应用程序以与您的服务器通信。

为了使后端更加安全，考虑到上述情况不可能发生，您的威胁模型是什么？您试图防范哪些攻击？您应该假设客户端是恶意的，并在服务器端验证所有输入。如果这样做，那么您就不需要担心某个人是否使用您的本机应用程序与服务器通信。

请参考本文中的工作流程，PHP构建安全Web应用程序。