我目前正在设计一个移动应用程序，我对保护运行服务以使其运行的后端的安全有些担忧。
我目前的计划是，使用 SSL 和这样的基本工作流程：
生成的令牌过期，因为它确保如果有人物理访问电话/设备，他不能控制用户帐户太久，但同时，我不知道占用了多长时间因为我不想每天都要求提供凭据。
我的问题是：
【问题讨论】：
标签： api security mobile backend
首先，您应该在将会话密钥存储在设备上时对其进行加密。例如，使用带有加密选项的共享首选项。更多信息：Android SharedPreference security
其次，您可能想要实现“SSL pinning”机制。这意味着在客户端验证 SSL 证书。您必须确定收到的证书是否属于您的后端。因此，您可以通过这种方式保护您的后端 URL 和参数。更多信息：https://www.infinum.co/the-capsized-eight/articles/securing-mobile-banking-on-android-with-ssl-certificate-pinning 或 http://www.thoughtcrime.org/blog/authenticity-is-broken-in-ssl-but-your-app-ha/
第三，你的设计很好。但请确保您的会话密钥生成机制不是针对“会话预测”攻击的漏洞。 https://www.owasp.org/index.php/Session_Prediction
【讨论】：