如何只允許我自己的應用訪問我的API

Question

我正在為我的rails應用程序構建API。 通過該API，我將登錄用戶並允許他們與他們的數據進行交互。

除了用戶身份驗證之外，我還想確保只有我的iOS應用程序可以訪問API，最終我自己的Web應用程序。

我想確保沒有其他人會使用API​​，所以除了用戶身份驗證之外，我還想用我的每個應用程序的令牌來保護我的API。

你通常如何解決這個問題？ 我是否必須在每次調用時傳遞該令牌，以便驗證該呼叫來自有效客戶端並確定它是哪個客戶端（web vs iOS）。

我非常感謝任何指針，或者你知道一篇文章解釋如何處理這個問題。

Answer 1

由於您已經使用jwt來驗證您的用戶，為什么不使用jwt的功能在令牌中包含其他信息，在這個實例中是某種形式的散列字符串，如果它是有效的“客戶端ID”，您可以驗證服務器端。 在每個請求上，您可以刷新字符串。

每種請求中的雙重身份驗證。 用戶和客戶。