如何判斷HTTP API請求是否來自iPad

Question

We're developing an HTTP API for an iPad app, and we're thinking of only allowing the API to be accessed via an HTTP request that came from an iPad.

我沒有想到像 User-Agent 這樣的東西，因為它很容易被偽造，但更像是某種與 App Store 相關的身份驗證方案？ 也許 App Store 使用某種私鑰對每個應用程序進行簽名，然后您可以將該簽名作為查詢參數或 header 插入請求中，並在服務器端檢查簽名是否來自合法的 iPad。

這樣的事情可能，甚至是一個好主意嗎？

Answer 1

如果您同時控制 iPad 應用程序和服務器應用程序，您應該能夠使用 PKI 來驗證請求是否來自合法應用程序。 將公鑰嵌入應用程序本身，使用它來加密您放入 header 字段的值，然后使用服務器上的私鑰解密並驗證收到的 header 值。