用户验证方案

Posted 2020-09-29

一、使用HTTPS 协议

HTTPS 协议：是“HTTP协议” 和 “SSL/TLS协议”的组合。HTTP的安全版。其实就是一个安全通信通道，基于HTTP开发，用于在客户计算机和APP后台之间交换信息。使用安全套接字层进行信息交换。

SSL（1999年之前）：安全套接层       TLS（1999年SSL协议标准化之后）:传输层安全协议  两者可以视为同一个东西的不同阶段

二、基本的用户登录方案

传统Web网站使用Cookie+Session保持用户的登录状态

APP 后台登录方案：

1、用户第一次输入账户密码登录之后，服务器为其提供一个钥匙

2、以后用户每次需要进入直接使用钥匙。

3、用户决定外出一段时间，咋把钥匙交换服务器销毁。

 

转换成计算机中，用户拿到钥匙的操作：

当用户拿到钥匙之后，将钥匙保存起来，下次再进行登录的时候，将token （钥匙）值传递给服务器，服务器查找用户ID所匹配的token ，对比相同，则允许用户进入

 

当用户退出登录的时候，APP后台把这个用户对应的Token字符串删除  销毁钥匙

 

弊端：身份验证依赖token，一旦用户泄露了URL，获取token,就相当于获取到了钥匙。

 

 

三、APP通信安全

1、URL 签名

身份验证是依赖于token字符串，如果用户泄露了自己的URL，那么token也会被黑客窃取  使用。  （在网络上传播token的方案）

URL签名就是不在网络上传播token的方案

形成新的sign = md5("test.com/user/info?token=dklfj92fs2uvl") = xxxxxxxxxxxxxxxxxxxxxxx;

于是，API请求后加上URL签名sign和用户ID就可以使token不需要附在URL上

后台就会根据这个URL 后，根据相对应的算法获取到token，发现token和数据库里用户ID 相对应的token相同，表示验证通过

 

URL 签名的验证流程图

2. url签名的不足之处

　　url签名有两个缺点：


　　1.当用户第一次登录后token是明文返回，有被截取的风险


　　2. url签名只能保护token值却没法保护其他敏感数据,例如，当用户更新自己的个人信息时，所有的信息在传输过程中应该是被加密的.

AES加密，

整个过程如下：

1、用户名密码 + https + url签名（url+时间戳+随机字串）链接+请求时间+保唯一的字串
2、服务器返回token：aes(约定算法)=》（token+随机secret(就取上面那个签名中的16位)）
3、app保存token后，以后每次机通信都通过  aes (token + 内容)  传输

转自：http://blog.csdn.net/newjueqi/article/details/44177063。