app後端設計(4)-- 通訊的安全性

   在app的後台設計中，一個很重要的因素是考慮通訊的安全性。

 

   因此，我們需要考慮的要點有：

1. 在app和後台，都不能儲存任何使用者密碼的明文

2. 在app和後台通訊的過程中，怎麼保證使用者資訊的安全性

 

   在app中，根據安全考慮，使用者的操作分為兩類：

1. 使用者登入註冊操作

2. 使用者的其他動作

 

   在第一點，使用者登入註冊操作中，是會出現使用者密碼，所以在這個過程中，必須要使用https通訊，保證通訊的安全。

 

    在第二點，使用者的其他動作，怎麼保證這部分通訊的安全呢？

 

    在我的設計中，是採用了公開金鑰加私密金鑰保證安全。使用者的id是公開金鑰，通過一定的演算法對使用者的id進行加密得到一個加密字串是私密金鑰。當使用者登入或註冊後，通過https把公開金鑰加私密金鑰返回給app用戶端。

 

這個過程如下：

 

 

<?php/** * 通過對url和參數加密產生VerfyCode，例如擷取使用者的feed的url是 * http://www.test.com/api/home/feed/count/1/page/20/id/1 *  *  api url為 http://www.test.com/api/home/feed/ * 傳遞的參數為 param=array("id"=>1,"page"=>20,"count"=>1) *  * app在傳遞給伺服器的參數中，加上使用generateVerfyCode產生的VerfyCode， * 所以發送給伺服器的url應為 * http://www.test.com/api/home/feed/count/1/page/20/id/1/verifycode/95aa9066d5801815a57bbe537280406b5516cb2a *  * 伺服器根據這個url和參數用同樣的演算法產生VerfyCode， * 對比app傳過來的VerfyCode和伺服器產生的VerfyCode，就知道url在傳輸的過程中是否有被改動 *  * @param $apiUrl api的url * @param $param url中附帶的參數 * @param $token 根據id擷取的私密金鑰 */function generateVerfyCode($apiUrl,$param,$token){$params_data = "";$params_data.=$apiUrl;ksort($param);foreach( $param as $key=>$value ){$params_data=$params_data.$key.$value;}$params_data = $params_data.$token;return sha1($params_data);}echo generateVerfyCode("http://www.test.com/api/home/feed/",array("id"=>1,"page"=>20,"count"=>1),"23423242342432");//result 95aa9066d5801815a57bbe537280406b5516cb2a

 

      但這個方法有個缺點，當別人截獲了這個url時可以重複使用，所以有個改進方法是在傳遞的參數中增加時間戳記，當發現這個時間戳記離現在的時間已經很久了，就判斷這個url已經失效了。但用時間戳記怎麼保證app的時間和伺服器的時間同步？可以在app每次啟動和註冊登入時和伺服器同步時間，然後在app內建一個時鐘，時間戳記在這個app的內部時鐘擷取，防止使用者修改了手機的時間。

 

app後端系列文章總目錄

 

 

 

[文章作者]曾健生

[作者郵箱]h6k65@126.com

[作者QQ]190678908

[新浪微博] @newjueqi

[部落格]http://blog.csdn.net/newjueqi

          http://blog.sina.com.cn/h6k65