安卓（ios）到PHP API安全

Question

我正在为使用php的Android做一个RESTful API设计。正因为如此，我创建了PHP API，它将进入我的数据库并根据调用的方法/函数提供特定的数据。
但看完一些教程后，我遇到一些quetions，我无法找到解决我的问题problem.my一个好方法是如下：

我1.how可以保持我的API和Android之间的会话换句话说，如果用户通过android登录系统，我该如何维护会话？有些使用PHPSESSID和其他人使用userid（由api返回），哪个更好？

我2.how可以保护我的API被滥用？我发现很多使用apikey

我3.how可以保护用户的恶意篡改数据？这关系到我的第一个问题，如果我使用userid维护我的API和android之间的会话，基于此，即使我使用apikey，恶意用户也可以篡改他的userid到其他人，所以他会得到其他人的信息。

我受够了，所以请帮助我？

Answer 1

我建议您阅读关于HMAC身份验证。

1. 您将不会维护会话...每个请求都会在请求头中发送一些令牌数据。

2. 你可以在它上面工作，想方设法保护你的服务器。最重要的想法是遵循最佳实践，并且当您的软件在生产中时常检查日志。

3. 使用HMAC或类似的方法。

您需要改变主意，不要存储会话，并遵循API最佳做法。我的好主意是阅读instagram，脸谱，g +和gdrive文档，看看他们是如何做的。