登录 注册

如何防止接口数据被盗用（给自己app用的），用户不用登录

本贴最后更新于 3176 天前，其中的信息可能已经时过境迁

#目前已经采取的措施（通讯方面）

  • 自定义的字符 encode 和 decode
  • 对 encode 后的内容进行 RSA 之后再传输
  • 服务器接收能正常 rsa 界面，decode 解码之后的请求才返回数据。
  • 对返回的数据同样进行 encode 操作

#目前已经采取的措施（App 方面）

* 各种扰码
* 各种平台提供的反编译打包

#困惑

* 无法保证app不被破解
  • 破解
    21 引用 • 41 回帖 • 2 关注
  • App

    App（应用程序，Application 的缩写）一般指手机软件。

    91 引用 • 384 回帖 • 2 关注
  • encode
    2 引用 • 18 回帖
  • decode
    1 引用 • 11 回帖
武汉 位置
4 收藏
4 赞同
11 回帖
3
2
2
15.3k 29 913 953 1.0k 456 56 495 11.3k

相关帖子

11 回帖
如何防止接口数据被盗用（给自己app用的），用户不用登录

欢迎来到这里！

我们正在构建一个小众社区，大家在这里相互信任，以平等 • 自由 • 奔放的价值观进行分享交流。最终，希望大家能够找到与自己志同道合的伙伴，共同成长。

注册 关于
请输入回帖内容 ...
  • snipking •

    做这些事基本是蛋疼......

    1. 数据层面应该是按用户区分的，能注册用户的能拿到自己可以访问的数据，没用户的不能拿到非公开数据，同时防范中间人攻击（单向 SSL + 安全性）
    2. 对于特定的需要强加密的场景，建议使用双向 SSL 认证，向客户端的签发证书的形式

    另外 RSA 加密和解密是很好资源的行为，不建议用于明文加密，比较合适的是用 RSA 来加密对称秘钥，用对称秘钥进行明文加密，对称秘钥需要有一套协议更新的流程，思想具体可以参考 HTTPS 。

  • MeiSha •
    作者

    @snipking
    1.数据一定要允许非登录用户使用
    2.理解 https 相关原理，rsa 用于加密其他对称加密的 key,但目前关键问题是 app 一直能被破解，有哪些合理的机制识别是合法的客户端请求？

  • zempty •

    辛苦了，写得很好。

  • snipking •

    @MeiSha 既然你的数据允许非登录用户使用，为什么好要考虑盗用问题？极端一点考虑我始终有办法抓到数据，如果你的数据确实有价值。举个最简单的例子，无论你在 app 层面做什么加密解密之类的操作，我依然可以通过 xposed 框架在你的解密方法上挂钩子来记录数据。你怎么防？
    我认为从用户层面控制可访问的数据才是可行之道。

  • MeiSha •
    作者

    @snipking 数据的确是有价值的数据，出于产品角度（用户感知，新用户引导）等角度非登录用户允许访问。

  • 88250 •
    订阅者

    我觉得 @snipking 说的是对的，这个问题本身无解啊。只能从产品设计层面来限制，技术层面是搞不定的。

    实在要防止，还有一个办法，就是加验证码，需要人工输入验证码后才能进行相应操作。

  • MeiSha •
    作者

    @88250 我也认为在技术层面无法处理，只能从业务上着手。o(︶︿︶)o 唉

  • 88250 •
    订阅者

    @MeiSha 就像社区防自动签到脚本一样，加了验证码才解决....

  • Angonger •
    支持者

    @88250 再加个评论验证码把

  • someone1764 •

    产品经理和技术不可调和的矛盾

  • blague •

    @mymoshou 产品说：要有光，于是技术得制造光。

请输入回帖内容 ...
MeiSha
青青子衿 悠悠我心 武汉
回帖
20
 帖子
2
 积分
2089

近期热议

推荐标签 标签

  • Ruby

    Ruby 是一种开源的面向对象程序设计的服务器端脚本语言，在 20 世纪 90 年代中期由日本的松本行弘（まつもとゆきひろ/Yukihiro Matsumoto）设计并开发。在 Ruby 社区，松本也被称为马茨（Matz）。

    7 引用 • 31 回帖 • 216 关注
  • 以太坊

    以太坊（Ethereum）并不是一个机构，而是一款能够在区块链上实现智能合约、开源的底层系统。以太坊是一个平台和一种编程语言 Solidity，使开发人员能够建立和发布下一代去中心化应用。 以太坊可以用来编程、分散、担保和交易任何事物：投票、域名、金融交易所、众筹、公司管理、合同和知识产权等等。

    34 引用 • 367 回帖 • 1 关注
  • 爬虫

    网络爬虫（Spider、Crawler），是一种按照一定的规则，自动地抓取万维网信息的程序。

    106 引用 • 275 回帖 • 1 关注
  • SOHO

    为成为自由职业者在家办公而努力吧！

    7 引用 • 55 回帖 • 5 关注
  • CodeMirror
    1 引用 • 2 回帖 • 129 关注
  • Swagger

    Swagger 是一款非常流行的 API 开发工具，它遵循 OpenAPI Specification（这是一种通用的、和编程语言无关的 API 描述规范）。Swagger 贯穿整个 API 生命周期，如 API 的设计、编写文档、测试和部署。

    26 引用 • 35 回帖 • 5 关注
  • WiFiDog

    WiFiDog 是一套开源的无线热点认证管理工具，主要功能包括：位置相关的内容递送；用户认证和授权；集中式网络监控。

    1 引用 • 7 回帖 • 591 关注
  • 旅游

    希望你我能在旅途中找到人生的下一站。

    93 引用 • 899 回帖 • 3 关注
  • FlowUs

    FlowUs.息流 个人及团队的新一代生产力工具。

    让复杂的信息管理更轻松、自由、充满创意。

    1 引用
  • Mac

    Mac 是苹果公司自 1984 年起以“Macintosh”开始开发的个人消费型计算机，如：iMac、Mac mini、Macbook Air、Macbook Pro、Macbook、Mac Pro 等计算机。

    166 引用 • 595 回帖
  • 博客

    记录并分享人生的经历。

    273 引用 • 2388 回帖 • 1 关注
  • Angular

    Angular 是 AngularJS 的新版本。

    26 引用 • 66 回帖 • 536 关注
  • QQ

    1999 年 2 月腾讯正式推出“腾讯 QQ”，在线用户由 1999 年的 2 人（马化腾和张志东）到现在已经发展到上亿用户了，在线人数超过一亿，是目前使用最广泛的聊天软件之一。

    45 引用 • 557 回帖 • 44 关注
  • Markdown

    Markdown 是一种轻量级标记语言，用户可使用纯文本编辑器来排版文档，最终通过 Markdown 引擎将文档转换为所需格式（比如 HTML、PDF 等）。

    167 引用 • 1520 回帖 • 1 关注
  • 黑曜石

    黑曜石是一款强大的知识库工具，支持本地 Markdown 文件编辑，支持双向链接和关系图。

    A second brain, for you, forever.

    16 引用 • 130 回帖
  • Bug

    Bug 本意是指臭虫、缺陷、损坏、犯贫、窃听器、小虫等。现在人们把在程序中一些缺陷或问题统称为 bug（漏洞）。

    76 引用 • 1737 回帖
  • 数据库

    据说 99% 的性能瓶颈都在数据库。

    343 引用 • 723 回帖
  • 又拍云

    又拍云是国内领先的 CDN 服务提供商,国家工信部认证通过的“可信云”，乌云众测平台认证的“安全云”，为移动时代的创业者提供新一代的 CDN 加速服务。

    21 引用 • 37 回帖 • 548 关注
  • LeetCode

    LeetCode（力扣）是一个全球极客挚爱的高质量技术成长平台，想要学习和提升专业能力从这里开始，充足技术干货等你来啃，轻松拿下 Dream Offer！

    209 引用 • 72 回帖
  • JWT

    JWT（JSON Web Token）是一种用于双方之间传递信息的简洁的、安全的表述性声明规范。JWT 作为一个开放的标准（RFC 7519），定义了一种简洁的，自包含的方法用于通信双方之间以 JSON 的形式安全的传递信息。

    20 引用 • 15 回帖 • 6 关注
  • 阿里巴巴

    阿里巴巴网络技术有限公司（简称：阿里巴巴集团）是以曾担任英语教师的马云为首的 18 人，于 1999 年在中国杭州创立，他们相信互联网能够创造公平的竞争环境，让小企业通过创新与科技扩展业务，并在参与国内或全球市场竞争时处于更有利的位置。

    43 引用 • 221 回帖 • 106 关注
  • Spring

    Spring 是一个开源框架，是于 2003 年兴起的一个轻量级的 Java 开发框架，由 Rod Johnson 在其著作《Expert One-On-One J2EE Development and Design》中阐述的部分理念和原型衍生而来。它是为了解决企业应用开发的复杂性而创建的。框架的主要优势之一就是其分层架构，分层架构允许使用者选择使用哪一个组件，同时为 JavaEE 应用程序开发提供集成的框架。

    943 引用 • 1460 回帖 • 3 关注
  • 微信

    腾讯公司 2011 年 1 月 21 日推出的一款手机通讯软件。用户可以通过摇一摇、搜索号码、扫描二维码等添加好友和关注公众平台，同时可以将自己看到的精彩内容分享到微信朋友圈。

    132 引用 • 795 回帖
  • 星云链

    星云链是一个开源公链，业内简单的将其称为区块链上的谷歌。其实它不仅仅是区块链搜索引擎，一个公链的所有功能，它基本都有，比如你可以用它来开发部署你的去中心化的 APP，你可以在上面编写智能合约，发送交易等等。3 分钟快速接入星云链 (NAS) 测试网

    3 引用 • 16 回帖 • 5 关注
  • App

    App（应用程序，Application 的缩写）一般指手机软件。

    91 引用 • 384 回帖 • 2 关注
  • Node.js

    Node.js 是一个基于 Chrome JavaScript 运行时建立的平台， 用于方便地搭建响应速度快、易于扩展的网络应用。Node.js 使用事件驱动， 非阻塞 I/O 模型而得以轻量和高效。

    139 引用 • 269 回帖 • 28 关注
  • Postman

    Postman 是一款简单好用的 HTTP API 调试工具。

    4 引用 • 3 回帖 • 7 关注

最新标签