php - 如何快速保护身份验证

Question

<分区>

Answer 1

首先，我要说的是确保您的服务器已准备好 SSL 和 ipv6 功能。 (照顾好 bat 的这些权利，防止你的应用在进入应用审核时被拒绝)

就保护您的 api 路由而言，您可以查看 JWT token 。 JWT 使用密码短语或证书(即私钥和公钥，想想你什么时候想在没有密码的情况下通过 ssh 连接到服务器)。

I'd preferred to use certificates, however you need to make sure that you don't lose these certificates, because once your app is ready for sale only these specific certificates would allow your app to talk to that api.

一旦你的 api 的所有路由都是安全的，我会:

• 生成一个默认 token 并将其存储到您应用的钥匙串(keychain)中(其目的是只允许您访问您的 api 一次)

• 从 api 端，创建将读取该默认 token 的路由 (/generate_token)，如果有效，您将生成一个新 token 并将其作为响应发送。

• 从钥匙串(keychain)中删除默认 token 并将新 token 存储在那里。

当您的 iOS 应用首次启动时，您可以将某种 isAlreadyFetchedToken = false 变量保存到您的 UserDefault 中。此变量允许您跟踪您是否拥有新 token 。

if isAlreadyFetchedToken == false {
    // load the default token into some variable 
    let default_token = ...
   // create custom http header 
   let header = ["Authorization": "Bearer \(default_token)" ]
   // access your /generate_token route from your api 
    // if you get a response it should contain a new_token 
    // save new token into keychain && remove default one 
  // update userDefault var to true 
     isAlreadyFetchedToken = true 
}

现在每次你想访问你的 api 时，你都会从钥匙串(keychain)加载那个 token ，并将它传递到你的 api 路由的 Authorization header 例如 [Authorization: "Bearer "+ new_token].

This is one way, and not the only way