如何使用查詢身份驗證保護REST API

Question

我有一個由ASP.NET Web服務創建的Rest API，還有一個android和IOS應用程序，它們調用api並向用戶顯示一些數據。

我需要的是保護我的API的方式，只有我的應用程序才能通過api和其他請求拒絕來訪問數據。

我應該提到我的應用程序不是基於用戶的，因此沒有登錄名和身份驗證，並且我不想強制用戶登錄！

根據我的搜索，我需要查詢身份驗證（查詢參數）才能實現此目的。

我需要的是如何創建這種查詢參數以及如何對其進行驗證？ （性能對我來說太重要了）

提前致謝

Answer 1

您可以使用基本身份驗證或任何基於令牌的身份驗證機制。 因此，在對您的api的每個請求上，獲取身份驗證標頭（http請求標頭中的身份驗證令牌）並驗證是否允許客戶端調用它。 如果失敗，則通過必要的HTTP狀態代碼發送。 您只需要確保要允許其調用api的應用程序在其請求標頭中使用這些安全令牌即可。 您可以根據需要將這些憑據或安全性令牌保留在內存，文件或數據庫中。

Answer 2

我不是安全專家，但據我所知您無法實現。 攻擊者可以訪問您在客戶端上嵌入的用於驗證應用程序的任何內容，然后攻擊者可以使用該信息來訪問您的API。