php - 如何确保您的 PHP 脚本仅由您授权的应用程序调用？

Question

假设我在服务器上有一个名为 process.php 的 PHP 脚本。我想从 iOS/Android 应用程序调用脚本。我想让没有应用程序就无法调用脚本，例如从计算机调用它。我怎样才能使这个验证过程安全且不可破解？

我想到的一些事情:

1. 使用类似于密码的静态 key 来解锁脚本。这不是一个很好的方法，因为一旦您的 key 被破解(可能是逆向工程， key 存储在您的应用程序中)，他们就可以完全访问您的脚本。

2. 创建哈希函数并按照以下步骤操作:

   • 向服务器发起请求并获取字符串
   • 在本地设备上散列字符串
   • 将散列后的字符串发回
   • 如果服务器接收到的字符串与服务器期望的字符串相同(在服务器上散列的请求发送)我解锁脚本 这样，您只有拥有哈希函数才能获得访问权限。这足够安全吗？

如果没有用户的登录凭据，我还有哪些其他选择？

Answer 1

如果您担心，您可以创建一个 API key 并使用 HTTPS 并将其附加到 POST 请求中的 url。仅确认包含 key 的请求。