如何保护从没有用户名/密码的移动应用程序进行的 API 调用？

Question

我购买了一个可以在移动应用程序中使用的 API。 API 包含预期的密钥和用户名。 在应用内，需要在付款确认时调用此 API。

我发现使用 Fiddler 之类的工具，可以看到应用程序发出的请求。如果是这种情况，只需几秒钟即可完全访问 API 签名。

如果有人可以帮助/添加这个问题，那将是非常有帮助的。

我的想法：

1. 使用服务器进行此 API 调用，而不是直接调用它 来自应用程序。
2. 如果使用服务器，问题仍然存在，因为对服务器的 API 调用（最终调用购买的 API）也可能被中断/访问
3. 如何保护应用程序对服务器的调用？

技术：Angular JS、Node JS、Ionic 框架

Answer 1

看看我对this问题的回答。除了使用用户名和密码，您的后端可以提供额外的资源，允许用户创建具有特殊范围的令牌。 在您的 AngularJS 应用程序中，您可以使用 $http 或 $resource 服务（如果包含 ngResource 模块）并获取此类令牌，​​以便您仅访问客户端真正需要的后端部分。

此令牌必须在客户端缓存并包含在每个请求的标头中。

在 AngularJS 中，如果您使用您创建的模块的配置功能，则可以在中心位置将令牌存储在每个请求的标头中。

    app.config(function($httpProvider) { $httpProvider.defaults.xsrfCookieName = "TOKEN" }

AngularJS 还提供了一些额外的安全特性。例如，您可以使用JSON vulnerability protection mechanism。如果您使用它，您的后端必须将字符 )]}',（您也可以覆盖默认字符）添加到每个 JSON 响应正文。 对于其他客户端，JSON 响应将是无效的 Javascript 代码，但在您的 AngularJS 应用程序中，这些字符将被自动删除。

更新

为您的应用程序实现安全性的最佳方法是阅读和理解OAuth2 规范。

在 this video 从 11:36 到 17:26 分钟，描述了 JavaScript 流程。

This 站点为不同的编程语言提供了一些标准的实现。

此标准中的一些方面是所有客户端和重定向 url 都必须在附加的身份验证服务器中注册。客户端由唯一的客户端 ID 标识。

为避免其他应用程序拦截您提取令牌的请求，原始令牌应仅在一小段时间内处于活动状态，并且每个 api 请求都必须经过 SSL 加密。

为了提供Single sign-on，也可以使用刷新令牌。