मोबाइल एप्लिकेशन के लिए एक आरईएसटी एपीआई कैसे सुरक्षित करें?

Question

मैं मोबाइल क्लाइंट के लिए Django में एक आरईएसटी इंटरफेस जोड़ने की कोशिश कर रहा हूं। मोबाइल क्लाइंट JSON का उपयोग HTTPS पर करेगा। मैं मोबाइल उपकरणों के लिए इसे पूरा करने के लिए "सर्वश्रेष्ठ" तरीका नहीं ढूंढ पाया है। चारों ओर खोज से, ऐसा लगता है कि # 2 # 1:

1. HTTP प्रमाणीकरण का उपयोग करें और कुकी आधारित सत्र स्थापित करें। सभी लेन-देन HTTP पर होंगे और JSON संदेशों में केवल आदेश या डेटा होगा।
2. सभी लेनदेन के लिए प्रत्येक JSON संदेश के भीतर उपयोगकर्ता नाम और पासवर्ड (एन्क्रिप्टेड) ​​पास करें और कुकी-आधारित सत्रों पर भरोसा न करें।

Answer 1

संख्या 2 बेहतर है, और अपना खुद का रोल करने के बजाए, यदि संभव हो तो मैं ओथ प्रमाणीकरण का उपयोग करने की सलाह दूंगा। क्लाइंट और सर्वर पुस्तकालय दोनों अब अधिकांश प्लेटफार्मों पर उपयोग के लिए आसानी से उपलब्ध हैं। विवरण के लिए http://oauth.net देखें।

Answer 2

ओएथ अधिक है जब तक कि आप इन सेवाओं को अन्य डेवलपर्स (जो वे आपके अंतिम उपयोगकर्ताओं की ओर से एक्सेस करेंगे) तक उपलब्ध नहीं कराते हैं। विकल्प 2 के साथ जाने के लिए बेहतर है, लेकिन मैं पासवर्ड प्रमाणीकरण के विरोध में डाइजेस्ट प्रमाणीकरण का उपयोग करने की सलाह दूंगा। एसएसएल के साथ संयोजन करें और आप निश्चित रूप से जाने के लिए अच्छे हैं।

Answer 3

जब तक आप वास्तविक एन्क्रिप्शन का उपयोग नहीं कर रहे हैं और बेस 64 या कुछ होमग्राउन obfuscation एल्गोरिदम नहीं है, # 2 ठीक और बेवकूफ है। आप कई कंपनियों को जो मार्ग लेते हैं, उस पर विचार करना चाहेंगे, जो उपयोगकर्ता नाम के लिए एक एपीआई कुंजी बाध्यकारी है।

Answer 4

मैं लॉगिन कॉल के साथ पहले उपयोगकर्ता नाम/पासवर्ड भेजने की सिफारिश करता हूं। जेएसओएन एक ऑथोकन या एक्सेस टोकन वापस भेज देगा जो मोबाइल डिवाइस सभी बाद की कॉल के लिए वापस भेज देगा। फिर आप यह सुनिश्चित करने के लिए जांच करेंगे कि ऑथोकन मान्य है। यह दृष्टिकोण कई एपीआई लेना है। अपने डेटाबेस में वे एपीआई कुंजी को उस उपयोगकर्ता खाते से जोड़ देंगे जो उन्होंने लॉग इन किया था।