如何知道我的帖子请求来自PHP服务器中的phonegap/cordova应用程序

Question

比如说，我有一个Phonegap/cordova应用程序，我想通过发布和通过AJAX向我的服务器发出请求。

只有当帖子来自我的应用程序时，我才能保护我的php文件。例如。

if($_POST["key"]==$secret_key_got_from_server) {
   // Do the things
}

我想用openssl创建一个安全的唯一密钥，但如果我在代码中硬编码以通过AJAX发送，任何人都可以反编译我的源代码并获取密钥，然后做任何他想做的事情。

我如何确保我的帖子来自我的phonegap应用程序，或者我如何安全地对密钥/令牌进行编码？

我不太确定这个问题应该在这里还是在安全SE。

Answer 1

要检查给定POST消息的来源是否为合法用户，应考虑消息的身份验证。有多种方法可以实现身份验证，但常见的方法是使用注册或登录过程中发出的令牌。如果post消息包含有效令牌，我们可以认为该消息是由有效用户发送的，否则不是有效的请求。近年来，JWT被广泛应用于web应用。这些网站可能会有所帮助：JWT。io，JWT-维基百科

在这种情况下，如果攻击者可以捕获和修改您的POST消息，那么您的方案就失败了。为了防止这种攻击场景，您需要加密您的消息。如您所说，如果您在客户端应用程序上硬编码密钥，攻击者可以通过分析客户端应用程序来知道密钥。所以更好的方法是使用服务器的公钥来加密消息。公钥仅用于加密，在计算上不可能使用公钥解密消息。解密是通过私钥完成的，应该安全地存储在服务器中。

这些基于公钥和私钥的加密方法称为公钥密码系统（PKC）。例如，RSA和ECC是最著名的公钥密码体制。

对于web应用程序，提供了HTTPS协议。您可以使用HTTPS加密您的帖子。

请注意，加密本身不提供完整性和身份验证。加密只是隐藏消息，但不能保证消息是从有效用户发送的。

Answer 2

我如何确保我的帖子来自我的phonegap应用程序，或者我如何安全地对密钥/令牌进行编码？

你不能。句号。逆向工程存在于世界上，而那个精灵已经从瓶子里出来至少40年了。

问问你自己，“为什么有必要确保数据只能来自我的应用程序？”你很可能试图解决错误的问题。