在Android中保护我的REST请求？

Question

我有一个服务器端脚本，可以获取我的应用程序使用的一些数据。 自然，我不希望其他人访问除我的应用程序以外的数据。 我听说使用特定软件可以看到设备连接的URL。 如何防止这些程序看到我正在呼叫的网址？ 还是有一种更好的方法来保护请求？

我唯一能想到的就是在url中使用密码密钥（并检查它是否在服务器端匹配）：

http://example.com/getdata?key=897ihrduiuyqewudiew&get=something

但这可能不足以进行安全的身份验证。 嗅探器程序仍然可以获取该URL。 有任何简单的方法可以更安全地执行此操作吗？

Answer 1

如果我对您的理解正确，则应该实施双向身份验证 。 基本上，您在客户端和服务器上都具有证书。 向服务器发出请求后，服务器将验证该请求是否由已知客户端签名。

因此，即使嗅探器知道url并尝试向服务器发出相同的请求，由于它不是由已知客户端签名的 ，也会被拒绝。 我对此也很陌生，但这是一般概念。 该博客具有基本步骤。

Answer 2

最简单的方法是使用HTTPS。 这样，嗅探器只能知道您连接到的服务器。

还有其他使用复杂挑战的方法，以使唯一密钥仅在短时间内有效/仅对单个请求有效，例如WSSE（请参阅本文http://www.xml.com/pub/a/2003/12/ 17 / dive.html ）

Answer 3

为了保护服务器请求，您几乎无能为力。 有人将始终能够看到您的应用程序命中的URL，并且在查询字符串中使用密码无济于事。 为了保护您的应用程序，您需要使用HTTPS和某种形式的身份验证。 用户将需要提供用户名和密码才能连接。