SSL和身份验证用户

Question

我有一个REST API，客户端通过SSL（自签名证书2048位）进行连接

我当时正在考虑实施以下安全措施

1. 客户端从服务器请求RSA公钥
2. 加密用户名/密码
3. 将这些添加到每个REST调用的标头中，以使服务器成为无状态

该应用程序涉及用户添加信用卡（数字本身已加密）和购买产品，因此安全性至关重要

从iphone客户端的角度来看，我们的时间也非常有限，所以我希望以上内容是否合适？

Answer 1

通常，在安全性方面，人们不想重新发明轮子。 使用最新技术更好的方法，因此您将从他人（可能比您更熟练）的工作中受益。

如果您具有基于SSL的RESTful API，那么我认为您没有编写自己的自定义TCP协议。 您可能会使用HTTP，因此，由于它在SSL上，因此您在HTTPS上。

使用HTTPS时，浏览器确保对请求进行签名和加密，以便只有另一端（服务）可以对客户端进行身份验证并解密消息。 因此，无需加密数据和使用自定义标头。 一个简单的基于cookie的会话就足够了，因此您不必在每个请求中都发送用户密码。