如何使用查询身份验证保护REST API

Question

我有一个由ASP.NET Web服务创建的Rest API，还有一个android和IOS应用程序，它们调用api并向用户显示一些数据。

我需要的是保护我的API的方式，只有我的应用程序才能通过api和其他请求拒绝来访问数据。

我应该提到我的应用程序不是基于用户的，因此没有登录名和身份验证，并且我不想强制用户登录！

根据我的搜索，我需要查询身份验证（查询参数）才能实现此目的。

我需要的是如何创建这种查询参数以及如何对其进行验证？ （性能对我来说太重要了）

提前致谢

Answer 1

您可以使用基本身份验证或任何基于令牌的身份验证机制。 因此，在对您的api的每个请求上，获取身份验证标头（http请求标头中的身份验证令牌）并验证是否允许客户端调用它。 如果失败，则通过必要的HTTP状态代码发送。 您只需要确保要允许其调用api的应用程序在其请求标头中使用这些安全令牌即可。 您可以根据需要将这些凭据或安全性令牌保留在内存，文件或数据库中。

Answer 2

我不是安全专家，但据我所知您无法实现。 攻击者可以访问您在客户端上嵌入的用于验证应用程序的任何内容，然后攻击者可以使用该信息来访问您的API。