用戶認證之前的安全休息服務

Question

我有一個Web應用程序，提供一些休息服務（澤西島）。 大多數端點都通過BASIC身份驗證來保護。 此外，我使用SSL進行傳輸，並為每個呼叫要求POST。 客戶端/消費者是android應用。

到現在為止還挺好。 似乎容易受到攻擊的唯一服務是注冊。 這是呼叫的“第一個”服務，並且用戶還不存在。 因此，我無法使用OAuth等。我還必須使端點易於訪問以使用戶能夠注冊。

我如何確保此服務的安全性，以防僵屍程序淹沒我的數據庫？

Answer 1

這些怎么樣？

1. 在request參數中使用帶有令牌的注冊鏈接。 確保令牌在一段時間后過期。 您也可以為客戶端創建令牌端點URL，以獲取有效令牌。
2. 在請求中使用自定義標頭或動態自定義標頭。 此外，您可以檢查動態自定義標頭以驗證請求的真實性。
3. 完成注冊后，立即使用注冊確認工作流程，例如電子郵件/文本驗證。 每天運行一個過程以刪除所有用戶帳戶，這些帳戶在x天之內沒有得到驗證。

我認為您真的不能以HTTP方式保護注冊URL。 恕我直言，任何擁有注冊網址的人都可以嘗試注冊。 因此，如果您問我，選項3比其他選項更好。