Question

我有一个RESTFulll 服务器和一个 Android 客户端。服务器有一些方法可以将数据返回到客户端的 HTTP 电话。客户代码中的方法之一是下面显示的验证客户身份的方法。

        HttpClient httpclient = new DefaultHttpClient();
        HttpGet request = new HttpGet(
                "http://localhost:8080/myapp/customer/login/cUser/cpwd");

        request.addHeader("Accept", "text/plain");
        HttpResponse response = httpclient.execute(request);
        HttpEntity entity = response.getEntity();
        InputStream instream = entity.getContent();
        String msg = read(instream);


 if(msg.equals("success"){ // if customer logged in successfully
     //do something
 }

服务器侧端代码使用上述 uri 的部分用户名和密码, 并进行验证。在我看来, 某人很容易获得这些数据, 并随心所欲地使用这些数据。是否有更好的方法可以这样做?

提前感谢

Answer 1

在 RESTfull 服务中,您必须使用 HTTP/1.1 auth 信头,例如:

request.addHeader("Authorization", "auth string");

认证字符串可以是基本的认证字符串: base64_encode(login+) :"+password) 或OAuth2 验证符等。

正如布莱恩·凯利所说,P. S. O.

Answer 2

是的,攻击者很容易将用户名/密码从一个简单的 HTTP 请求中使用的 URL 中拉出。您的计划很容易被利用和攻击。

使用“http://en.wikipedia.org/wiki/HTTP_secury” rel=“nofollow”>>HTTPS 。这将迫使运输连接为SSL-encrepted,防止偷窥。您还应该从 URL 中删除证书,而是使用 http://en.wikipedia.org/wiki/birk/basure_access_authendication" rel=“nofolfol” > Basical Digiation 。

友情链接