HTTP 授权标头 - 持有者令牌安全性

Question

我正在构建一个将从web和移动平台使用的API。

我需要一些帮助和建议来< code >改进我的无记名令牌授权。

当前的身份验证非常简单。我将假定发送的凭据是正确的：

• 向APIendpoint发送电子邮件和密码
• 存储具有到期日期的用户令牌
• 使用用户授权令牌回复客户端

然后，任何其他操作授权包括：

• 发送授权持有者“令牌”标头
• 决定是否允许令牌所有者执行操作
• 完成操作

我担心的是，如果有人只是查看请求头，那么很容易发现承载令牌。这将允许用户从任何rest客户端执行任何有害的请求。

大多数可能故意破坏的请求在应用程序上下文中都是完全有效的。因此，通过请求参数过滤掉它们并不容易。

我一直在考虑发送标题的可能性：

• 用户授权令牌
• 发送日期或任何其他参数
• 哈希（令牌，其他参数）

在服务器上，我会分别比较每个参数，然后比较加密的哈希值。

因此，如果有人用不同的日期发送相同的哈希，它很容易被检测为入侵者。

你还有什么其他建议可以使通信更安全吗？

Answer 1

在网络上可见的令牌必须具有加密的ip和用户代理（如果是网站）。这样，即使有人拥有你的令牌，他们也无法通过相同的ip和浏览器以外的任何其他方式发送令牌。

Answer 2

您正在考虑使用日期和哈希的解决方案不会增加任何针对基本对手的安全性。令牌的到期应在数据库的服务器端进行管理。

Oauth 2威胁模型告诉您如何保护4.6.1节中的令牌。