將api密鑰從遠程服務器安全地傳遞到身份驗證頁面

Question

這是我第一次構建經過身份驗證的API，但遇到了一些障礙。

如何安全地將API密鑰從遠程客戶端的頁面傳遞到我的服務器（以便用戶驗證將其帳戶連接到客戶端的頁面/應用程序）？

-迪倫

Answer 1

您是否研究過SSL ？

Answer 2

以我的經驗，API密鑰實際上是用作散列的鹽，而密鑰本身實際上並未傳遞。

當客戶端向服務器生成請求時，它會將一堆東西（請求時間，user_id）+哈希哈希在一起，並且哈希包含在請求中。 在服務器端，通過檢索服務器的密鑰並遵循相同的步驟來重新計算相同的哈希。 如果哈希不匹配，則意味着向服務器發出請求的客戶端不知道1）創建哈希的步驟，更重要的是2）API密鑰用作創建哈希的鹽。 這樣，您可以確定您的客戶端確實擁有密鑰，並且他們知道如何進行身份驗證，而無需發送實際的API密鑰。