我们正在为Android构建一款游戏,需要访问Web服务 - 我们在自己的服务器上编写了一个用PHP编写的RESTful API。 API提供的功能包括:创建用户、登录、下载游戏、检索游戏列表、提交分数...等。现在我在思考,如果有经验的用户获取了API的URL格式,他们将能够以多种方式破坏系统:
- 创建脚本并运行它来创建自动用户 - 我认为可以通过验证码或类似的方式来防止它。但是,验证码会令游戏玩家感到烦恼。
- 恶意用户使用浏览器登录,下载游戏,然后按照他的意愿提交分数 - 通过在浏览器中直接调用API来实现。我假设恶意用户通过嗅探应用程序进行HTTP请求时知道了API的URL。
- 我需要确保请求仅从安装了游戏的Android设备发出。(该游戏将是免费的)