通过 HTTP 重定向发送密码明文到 HTTPS

Question

这是my previous question 的后续内容，内容涉及如何保护从移动应用到托管在 Heroku 上的 Play 应用的 API 调用。

最初建议我实现 OAuth，但它似乎比我需要的要复杂，我考虑在每次调用时通过 HTTPS 发送密码明文并将其存储在设备上。

1. 是否可以只组成一个我存储在应用程序中的长随机字符串，并在 API 端也需要它？这似乎会阻止其他人使用 API，这很好。
2. 如果是这样，仅通过 HTTPS 发送该令牌以及用户的用户名和密码是否安全？

Answer 1

在写这篇文章时，我遇到了this 的答案，它看起来是一个可以接受的解决方案：

• 每次调用都使用 HTTPS
• 第一次调用后，发回一个 authToken，每次后续调用都会发送一个 authToken
• 每隔一段时间在设备和服务器上过期令牌