169 похожих чатов

Парни, вопрос по безопасности API. Обычно делаю авторизацию и аутенификацию

для юзера через JWT на бэкенде с секретом. После чего же каждый реквест, требует этот JWT от юзера. Что есть дефолт.

Но сейчас делаю проект, в котором очень важна безопасность, а именно защита от реквестов сторонних.

И вот я не понимаю, в данном дефолтном сетапе, если кто-то решит за ревёрс-инженерить приложение, получит ендпоинт url и headers, он же может осуществить все реквесты через условный постман и получит такой же JWT и с его помощью сможет отправлять следующие запросы для получение юзер данных.

Как обезопасить api от этого и привязать/разрешить только реквесты с моб приложения и вообще возможно ли такое?

4 ответов

7 просмотров

Вроде бы видел либу которая умеет в шифрование env

Можно попробовать ssl key pinning, запросы не пройдут если нет сертификата, юзают как раз для большей секьюрности

Невозможно. Только запутывать, усложнять, делать ловушки и тд.

Nikita Kovantsov
Можно попробовать ssl key pinning, запросы не прой...

Это выглядит очень вкусно. Но по своей сути все равно что сохранять headers какой то в энкриптед .env потому что если за ревёрсить приложение, то человек может получить доступ к сертификату. Я правильно понял?

Похожие вопросы

Обсуждают сегодня

@MrMiscipitlick А можешь макрос написать, который будет вычислять смещение относительно переданных меток? Просто .label1-.label2, и вернуть значение.
КТ315
35
я не магистр хаскеля, но разве не может лейзи тип конвертнуться в не-лейзи запросив вычисление содержимого прям при инициализации?
deadgnom32 λ madao
100
А еще в перле можно уже @arr1 + @arr2?
Sergei Zhmylove
53
Заметил в ghci 9.4.8: > :t (<*>) @((->)_) (<*>) @((->)_) :: (w -> (a -> b)) -> (w -> a) -> w -> b Разве не должно (w -> (a -> b)) быть записано как (w -> a -> b)? Это баг, ил...
Михаил
13
Подобного рода ;Следующие три строки это директивы ассемблера, ;которые можно не задавать, т.к.работаем в Visual Studio. ;Символ ";" - это начало однострочного комментария ...
Егор Анелькин
3
Any electron dev here?
Sayanth Tezro
12
Привет всем. появился вопрос. Разрабатываю сайт, в данный момент он запущен. Хостинг beget. Добавляю на сайт яндекс метрику с помощью полей client-settings (взято отсюда http...
Andrew
2
так это может кто что знает или использует что-то как макбук только не макбук? на 13…14 дюймов
Michael
9
Подскажите, где смотреть результат выполнения программы? Код: ;.686 ;Система команд процессора 686 ;.MODEL FLAT,stdcall ;Модель памяти плоская, станда...
Егор Анелькин
5
Кто-нибудь знает почему SPM клонирует репо целиком? Некоторые репы просто огромные, как та же swift-syntax которая нужна для использования макросов. Сначала подумал, что это...
iMike
6
Карта сайта