GoogleAppEngine Java WebService安全性

Question

我正在使用Java（使用JApplet）开发小型游戏，我想实现高分和成就。

我没有专用的服务器，因此我决定使用GoogleAppEngine来存储玩家数据以及获得高分和成就。 我已经找到了如何在GoogleAppEngine上创建WebServices，但是我对安全性有疑问...

我不希望未经授权的人员向我的WS打电话...为了防止其他人使用此WS，我可以实现哪种安全保护，只有经过培训的客户端（这是我的Applet）才能在此发布。

我的Applet可能将托管在我的个人网页上，而WS将在GoogleAppEngine上运行。

预先感谢Serhiy。

Answer 1

由于人们不会直接点击您的GAE应用程序，因此Google登录名和用户服务可能效果不佳...所以您可能希望了解更常规的安全性。

一种方法是在小程序中使用私钥对所有请求进行签名，然后使用GAE上的公钥对其进行检查。 这种方式的问题是，您必须将私钥保留在applet上，而我认为这是可以反向工程和被盗的。

您还可以探索对applet的跨域安全性限制...让applet回发到它所来自的服务器，并使该服务器与GAE进行签名请求的通信。

您还可以考虑使用基于HTTP_REFERER的安全性-仅接受源自您的主机域的请求。