Azure 移动应用程序和安全性

Question

我刚刚设置了一个新的 Azure 移动应用（自旧的移动服务以来第一次使用）。

设置应用程序后，您可以使用“快速入门”产品之一创建连接到您的服务的 Xamarin.Forms 应用程序，它们会为您创建一个虚拟 ToDoItem 表。然后您可以下载该应用程序的源代码。

让我摸不着头脑的一点是，以前使用移动服务时，您将拥有您的移动服务 URL 和一个 API 密钥，该密钥是保密的（您可以将其保密到何种程度还有待商榷，因为归根结底，它在您的代码中，并且可能有人可以对 APK 或其他任何东西进行逆向工程并获取它）...但是对于新的移动应用程序服务，似乎没有任何关于这个秘密 API 密钥的概念。我搜索了示例应用源，只能找到应用服务的 URL，没有别的。

所以我的问题是，如何阻止其他人使用我的移动应用服务 URL 并读取/写入（或更糟的是，从中删除）我的 SQL Server 表？

也许我遗漏了什么……如果有人能对这个主题有所了解，那就太好了。

Answer 1

应用程序密钥作为一种安全机制被丢弃，因为它给人一种虚假的安全感。正如您所提到的，没有什么可以阻止人们通过对应用程序进行逆向工程或捕获网络流量来获取密钥 - 在某些方面，这比没有安全性更糟糕！

我们强烈建议您将表设置为仅允许经过身份验证的访问。使用社交媒体身份提供程序不会为您提供任何基于角色的访问控制，但使用 Azure Active Directory，您可以相当轻松地设置组。

您可以在https://azure.microsoft.com/en-us/documentation/articles/app-service-mobile-auth/ 找到一些基本信息和教程（包括 Xamarin.Forms）。 https://shellmonger.com/30-days-of-azure-mobile-apps-the-table-of-contents/ 也有大量关于移动应用的信息。