使用Android设备通过REST API保护身份验证？

Question

我正在草拟一个Android应用程序连接到Web上的REST API的解决方案。 用户应该能够创建配置文件，然后在该配置文件上执行某些请求（更改名称，电子邮件等）。 搜索类似的问题，从大部分答案中得出私有/公钥解决方案的建议。

这个人很好地解释了这个程序： http ： //www.thebuzzmedia.com/designing-a-secure-rest-api-without-oauth-authentication/

此过程完全取决于私钥确实是私有的先决条件。 我没有找到解决这个问题的任何答案。 但是，如果服务器和客户端必须具有相同的私钥，那么它必须在某个时刻在双方之间进行转移，这将不可避免地将其暴露给观看流量的人。 那么在双方之间建立相同的私钥是否有安全的方法？

另一个问题，当客户端（安全地）获取私钥时，应该如何存储？ 共享首选项之类的东西足够安全吗？ 我担心的是，具有root权限的人可以轻松访问它。

Answer 1

只需使用TLS建立安全连接即可。