如何判断HTTP API请求是否来自iPad

Question

We're developing an HTTP API for an iPad app, and we're thinking of only allowing the API to be accessed via an HTTP request that came from an iPad.

我没有想到像 User-Agent 这样的东西，因为它很容易被伪造，但更像是某种与 App Store 相关的身份验证方案？ 也许 App Store 使用某种私钥对每个应用程序进行签名，然后您可以将该签名作为查询参数或 header 插入请求中，并在服务器端检查签名是否来自合法的 iPad。

这样的事情可能，甚至是一个好主意吗？

Answer 1

如果您同时控制 iPad 应用程序和服务器应用程序，您应该能够使用 PKI 来验证请求是否来自合法应用程序。 将公钥嵌入应用程序本身，使用它来加密您放入 header 字段的值，然后使用服务器上的私钥解密并验证收到的 header 值。