在Rails中使用有关密码处理的API来提高Android应用程序的安全性

Question

我是新手，负责改善Android应用程序和该应用程序使用的API，因为最后一位开发人员离开了公司。

目前，该应用程序很小，根据Google Play商店的安装，只有不到500人安装了该应用程序，但令我感到担忧的是，我意识到用Android开发此应用程序的人将用户密码保存在手机中使用localStorage.setItem文本，然后每次用户想要登录时，他使用localStorage.getItem恢复密码并将其发送到API。 在Rails API中，密码的处理更加安全，但是他使用GET请求进行身份验证（老实说，他使用GET进行所有操作，编辑资源，创建资源等），尽管他使用HTTPS，但该API也可以接受HTTP请求。

我不是安全专家，但是显然这很糟糕...

短期内我该怎么做才能提高此应用程序的安全性？

• 现在，我使该API仅接受HTTPS请求。
• 我打算在适当的时候更改POST的GET请求。
• 我还计划在用户注册时保存密码的哈希，然后像使用真实密码一样使用此哈希。

就像我说的那样，我不是安全专家，但是我不想做像以前的开发人员一样糟糕的事情，所以我想听听更多的意见，以及在提高Rails中应用程序的安全性方面我还能做些什么？和Android？ 如何更仔细地处理敏感信息？

问候。

Answer 1

这不是世界上最严重的问题，密码应通过https安全传输。 主要问题是不更改密码就不可能使会话无效。 假设您先登录一台设备，然后再从另一台设备上注销第一台设备，但是您无权访问第一台设备，因为您无法在不更改密码的情况下注销第一台设备。 使用存储在客户端上的哈希密码并没有什么好处，因为哈希现在已成为密码。

应该怎么做以及大多数网站是怎么做的，您将用户名/密码发送到登录api，并且登录api返回一个auth令牌。 从现在开始，使用auth令牌对所有api请求进行身份验证。 这样做的好处是，服务器可以使auth令牌无效，并且会话到期，这会阻止设备访问api，直到再次登录为止。

其中一个流行的库是devise_token_auth ，它可以为您处理所有这一切。

但是，如果您的应用无法列出活动会话并使它们无效，那么您将一无所获。 同样，通过https将密码发送到服务器并不是特别不安全。 一个应用程序的专用存储区域无法被其他应用程序访问，如果设备受到损坏，因此该区域不安全，那么您将无能为力。