WebAPI / Web應用程序中的HMAC Auth方法

Question

我最近正在一個WebAPI項目上工作，在該項目中，我將為其他Intranet Web應用程序打開一些端點，以選擇我的OracleDB表空間中的一些數據。 我現在最關心的問題之一是保護WebAPI免受對我的API的無效調用。

我正在尋找一種HMAC方法，其中我與可以調用我的API的不同授權的Web應用程序共享唯一密鑰。

我的問題是
假設我與WebApp A共享密鑰A，並且與WebApp B共享密鑰B，WebApp A的開發人員可以將密鑰A與他的另一個WebApp C一起使用來訪問我的API並進行“授權”調用嗎？ 共享給他們的密鑰很容易在其他應用程序中被濫用。

Answer 1

當然，您的密鑰可以在任何地方使用。 通常，HMAC方法旨在驗證消息。 換句話說，當您使用HMAC時，您100％確定密鑰所有者（密鑰被泄露時的情況除外）已向您發送了請求。 沒有什么可以阻止密鑰所有者共享此密鑰。 但是，最主要的是，從您的“ 主機 ” -API的角度來看，所有使用特定密鑰簽名的請求都應被視為同一客戶端 ，而與它們在物理上是否是同一應用程序無關。