有關應用程序和API的安全性問題

Question

因此，我即將完成我的第一個應用程序和API。 它將在接下來的幾周內投入使用並准備投放市場。 我對安全性有疑問，盡管我可以提出一些建議。

應用程序（ http://www.application.com ）是否需要SSL證書，並且與api（ http://api.application.com ）有2種通信方式，API是否也需要SSL證書？

還是只需要對應用程序進行SSL加密，因為這將發送敏感數據？

Answer 1

僅保護您的API是不夠的。 如果應用程序通過瀏覽器（AJAX / XHR）與API通信，則當通過不安全的連接加載應用程序時，該應用程序可能會受到MITM的攻擊。 攻擊者可以更改已加載的腳本，以便將數據發送到他的服務器（或從他的服務器接收）。

當您的應用程序與后端上的API通信時，並且該API無法公開訪問，我還建議您使用SSL保護它。 它更具前瞻性，可確保服務器之間發送信息的安全，並且當您公開訪問API時不會有問題。

因此，我的TL; DR回答：盡可能以最牢固的方式保護兩者。 用戶的數據（任何數據）都是寶貴的，您有責任安全地傳輸和存儲它們。 每年節省幾美元是不值得的。