没有身份验证令牌的android联系人同步

Posted 2023-04-17

【中文标题】没有身份验证令牌的android联系人同步

【英文标题】：android contacts sync without auth token

【发布时间】：2012-12-24 18:51:58

【问题描述】：

有没有办法在不使用 authToken 的情况下将 android 联系人与服务器同步，只需用户名和密码？怎么办？

我想在每次同步联系人时使用用户名和密码进行身份验证，根本不使用 authToken。

让我们在SampleSyncAdapter 上说，我应该改变什么来实现这一点。

【参考方案1】：

您可以使用帐户名作为用户名，并将密码保存为令牌或附加信息。在 SampleSyncAdapter 中，只需替换您发送到服务器的内容即可。

【参考方案2】：

请注意，使用密码而不是身份验证令牌很容易，但由于以下几个原因，(discussion) 非常不安全：

这意味着使用您的 AuthenticationAdapter 进行身份验证的恶意应用程序会收到您的实际密码副本，它可以用它来以您的身份登录并做任何它喜欢的事情，或者它可以发送您喜欢的任何人的用户名和密码。请注意，由于身份验证和令牌使用的分离方式，人们可以编写可以从您的身份验证器请求凭据的第三方应用程序。如果您提供密码而不是令牌，那么您只是将您的用户密码交给了应用开发者，您可能甚至都没有听说过或知道存在。

这意味着如果您使用 http 传输，您将通过网络以明文形式发送密码。这将使密码受到窥探。 （同样，任何将您用作身份验证器的第三方开发人员可能都不知道使用带有密码的 http 有多糟糕。）