验证客户端应用程序身份-客户端在浏览器中

Question

我的后端是用PHP编写的（实际上我猜没关系）。 我有用Javascript编写的客户端，该客户端在浏览器中启动。

应用程序通过以下方式工作：

1. 用户访问URL地址并获取用于渲染数据的原始模板
2. 通过ajax，GET查询被发送到后端服务器，查询用于填充原始模板的数据。 响应作为有效JSON返回。

在这两个请求发生之后，我可以打开控制台并重新发送上一个ajax查询。 我可以复制所有参数并轻松地从JSON获取数据。

我对这种情况不满意。 我想找出查询来自应用程序的方式。

我想在后端生成一些一次性令牌。 在步骤1上将其提供给客户端。令牌只能使用一次。 取得令牌后，客户端将立即使用它，从而使令牌对下一次查询无用。 令牌的生存时间很短，因为步骤2应该立即紧跟步骤1。

因此，下一次如果将ajax查询发送到返回有关产品的基本信息的端点（步骤2），则不会响应发送任何数据。

我不是要100％保证查询没有被欺骗（尽管我很高兴有这种可能性，但我觉得这是不可能的）。 我正在寻找某种方法来使欺骗更加困难。 拥有在80％的情况下都能工作的锁比根本不拥有锁要好，因为它需要断路器更好的鉴定。

我对将要实施的方法的可操作性有一些疑问。

我需要人们通常如何做的链接或一般想法。 实施对我来说不是问题。 我能够找到的是“证书固定”，尽管不确定它对我的情况有什么帮助。

肯定有人解决了这个问题。 你知不知道怎么？ 有什么建议吗？

谢谢

Answer 1

您所说的是一次使用的数字的“立即”缩写。 您可以在首次加载页面并将其添加到任何请求时在javascript中进行设置。 您可以将其存储在服务器上的会话中，以便可以验证它是否与预期的相同。 服务器的每个响应都需要包括一个新的随机数，并且在响应处理程序中，您需要更新脚本中的随机数集。

如果您有很多可以并行发送的请求，则可以存储一个随机数数组，并在获取它们时在服务器上使它们无效

Answer 2

您可以应用移动应用程序中常用的解决方案：使用难以复制的签名对请求进行签名。 在请求中添加当前时间和随机值，并在签名中添加盐。 将签名放入HTTP标头。 混淆您的JS代码。

签名可能类似于md5("salt" + method + url + params + body + sessionId) 。

params应包含当前时间和随机值以及您需要的其他参数。 在后端，再次计算签名并拒绝没有有效签名的请求。