Android应用程序和外部数据库之间的安全

Question

在阅读了很多关于如何通过Android应用程序访问外部数据库（MySQL）的主题和问题后，我的问题是：如何确保只有我的应用程序能够从该数据库检索数据？这关乎安全。

为了访问该数据库，我打算在我的服务器上创建一个小的PHP文件，该文件将用作我的应用程序和我的数据库之间的接口。但是，如果有人可以看到使用的URL，那么他也可以与我的数据库进行交互。那么，我该如何防范呢？

谢谢。

Answer 1

首先我会推荐你​​使用HTTPS传输协议，说实话，即使是自签名证书secret（有特殊标志等）也是很好的保护。

然后您在您的服务器上创建验证此证书的Web服务（确保您没有硬编码证书密钥）并且瞧。

编辑

假设你是在谈论Android的我会向您提供keytool教程Here。我还假设你知道你必须创建自定义HTTPS处理程序，以便将证书放入请求中，如果您不知道如何执行此操作，则可以在我回到家时立即发布它（我的项目已启动我的私人电脑）。部分服务器端证书验证是Here

Answer 2

如果攻击者的动机很好，那么您不能通过外部API将对数据库的访问限制为仅限于您的应用。

您可以使其更难（例如使用存储在您的应用中的攻击者必须提取的秘密;使用Google's Play services等对您的应用程序进行模糊处理），并且可以创建威慑（限制使用API​​的许可），但从根本上说，您需要为其他人准备好将请求发送到您的API，看起来像他们来自您的应用程序。

适合什么样的方法组合取决于第三方访问对您的后果。

Twitter是使用许可控制第三方访问其API的有趣案例研究。没有什么能够阻止某人创造一个假装成为正式客户的客户，除非他们的威慑力足以让Twitter发现，他们会通过合法渠道追随他们。