离子wordpress其余api寄存器是安全的[关闭]

Question

我在ionic中有注册页面，与wordpress rest api通信，要通过api注册新用户，需要管理员访问权限才能获得管理员访问权限，我应该发布管理员用户并通过admin修改后的令牌发送注册用户请求

但是我想问一下这种方法的安全性，当发送管理员用户通过该应用程序时，它是否可以监听？ 我认为通过这种方法，管理员用户通行证可以轻松嗅到

我没有测试它，但是我不确定发送管理员数据的安全性，请对此进行指导

Answer 1

Ionic是一个客户端框架。 用户知道存储在客户端上或从客户端发送的任何内容，对于用户而言，除了使它变得更难之外，您无能为力。 可以假定用户完全控制客户端设备，无论是PC，移动电话还是其他任何设备。

因此，为了使您的设计能够正常工作并根据您的描述，您必须在客户端上存储Wordpress管理员用户名和密码。 这显然是不安全的，如您正确发现的那样，您的用户将能够从Ionic应用程序本身中提取它，甚至可以更容易地将其发送到服务器。

解决方案是拥有一个服务器端组件，该组件将为您保存Wordpress凭据，而您的Ionic应用程序将仅与您的服务器通信。 这样可以有效缓解Wordpress管理员凭据问题，但是您需要另一台服务器。

还要注意，使用这样的服务器，任何人仍然可以像您的Ionic应用一样操作，并在Wordpress中注册用户。 您不应假定只有Ionic客户端才能执行此操作，因为如上所述，用户可以知道客户端已知的任何内容，用户可以创建任意请求，而这些请求与Ionic客户端请求没有区别。 但是，在设计此新服务器时，至少不会公开Wordpress管理员凭据，并且服务器未公开的任何功能对最终用户也将不可用。