安全的 Python 客户端和服务器 websocket

Question

我正在为机器人应用程序创建一个应用商店。设置如下：

• 运行 Linux 和 Python 的机器人
• 运行 Django Tastypie 的应用商店 API
• 应用商店通过 jQuery 与 API 通信的网站

当用户在网站上安装应用程序时，会对 Django 进行 API 调用。然后我需要 Django 向机器人发出推送通知，通知他新应用程序已准备好安装。然后机器人应该调用 API 来检索新应用并安装它。

我认为 websockets 将是解决这个问题的最佳方法。我需要用 Python 编写服务器和客户端。

API 使用密钥身份验证有点复杂。使用 websocket 将密钥从 API 发送到机器人是否可行且安全？我应该只使用 HTTPS 和 WSS 吗？

鉴于那里有无数的 websocket 实现，有没有人可以推荐这个场景？

Answer 1

你的主要问题，如果你应该使用 HTTPS / WSS 来增加安全性，可以很容易地回答：是的，你应该。

问题的另一部分有点隐蔽，如果 API 密钥在以明文形式发送时会被泄露，这取决于您如何使用 API 密钥。安全 API 将在密钥和有效负载上使用加密哈希，而不是明文形式的密钥。