iOS使用令牌認證調用公共Web服務

Question

我們正在構建一個iOS應用程序，該應用程序與Web服務集成在一起以進行數據存儲和檢索。

當前，有多個不需要身份驗證的端點，這意味着沒有從該應用程序登錄。

我們正在嘗試防止非應用程序用戶在客戶端和服務器之間使用令牌身份驗證來調用公共Web服務。

問題在於，由於無需從應用程序登錄，因此將在應用程序內部靜態生成令牌，因為沒有客戶端提交的數據可用於令牌生成。

這導致了一個問題，任何人都可以反編譯該應用程序，找到我們的公鑰並弄清楚如何生成令牌，然后隨意隨意調用Web服務。

過去有人解決過類似的問題嗎？ 令牌是防止有害客戶端調用服務的最佳方法嗎？

還是有一種方法可以在應用程序內存儲公鑰，以保護公鑰免於人們查找？

謝謝

Answer 1

當用戶首次啟動該應用程序時，它將與服務器通信並向其發送您的設備ID。 服務器將使用設備ID生成用戶ID和密鑰。 之后，您將使用它來對人員進行身份驗證。

Answer 2

您將需要確定應用程序和憑據。 這是您可以做到的一種方法。 假設某位用戶安裝了您的應用。 用戶接下來需要做的就是訪問您網站上的網頁以獲取ID和密鑰。 該網頁可以生成ID和密鑰，並顯示QR碼，最終用戶可以掃描QR碼以將ID和密鑰輸入應用程序。 該應用程序將ID和密鑰存儲在某個位置，並使用Hawk方案等內容對請求進行簽名，服務器可以對其進行驗證。