Restful PUT/POST 需要多少身份验证？

Question

我有一个组织需要向我发送一组预先确定的非常敏感的数据。我现在的流程是这样的，

1. 已创建网页https://mywebsite.com/random/

2. 页面需要 HTTPS 并且只接受 POST/PUT 请求或重定向

3. 我做的第一件事是检查两个变量，“unique_id_1”和“unique_id_2”。这些变量中的每一个都必须与我的数据库中已有的帐户完全匹配。

此时，恶意人员必须首先找到网页，然后必须找出这两个变量的名称，并用正确的匹配数据填充它们。这种情况发生的可能性有多大？

我考虑过添加第三个变量“shared_key”，然后与提交者共享一个文本字符串，以包含在每个 PUT/POST 请求中。这会有多大帮助？

我的另一个想法是我们俩都用预共享密钥编写了一个散列日期。他们发送变量，我将其与我自己的匹配。这样，密钥每天都在变化。矫枉过正？

Basic Authentication 怎么样，它甚至那么安全吗？我目前拒绝并重定向不正确的访问者/数据。看起来要求身份验证的网站只会更多地提示潜在的黑客程序。

Answer 1

似乎要求身份验证的网站只会做 更多信息以提示潜在的黑客程序。

这是不实施身份验证的可怕原因。您不需要为整个站点执行此操作，您可以仅针对您的 API 端点执行此操作。

如果您的数据“非常敏感”，除了 HTTPS，您可能还需要考虑以下部分或全部：

• 使用the Qualsys checker 确保您的 HTTPS 本身是安全的。
• 让 API 用户注册其 IP 地址并锁定服务，使其仅响应该 IP。
• 需要客户端证书（由您创建），例如 SSLVerifyClient require。
• 在请求之上使用基本或摘要式身份验证。这样就不需要您的 id1/id2 参数了。
• 如果您觉得有足够的动力，请实施 OAuth。
• 实现URL signing，而不是您的第三个“共享密钥”参数。

还有：

• 不要将客户端日期的哈希值与服务器日期的哈希值进行比较。它将在午夜附近中断，尤其是客户端和服务器位于不同时区或时钟漂移时。