仅允许访问特定请求

Question

我有一个与 Apache 2.2 服务器通信的 iOS 应用程序。我想限制对几个目录的访问，以便只有应用程序才能访问它们（没有浏览器访问，没有爬虫等）。我有哪些选择？

Answer 1

在非标准端口上运行 Apache，例如 8574。这第一步将消除 99% 您期望从机器人和脚本中产生的“噪音”。

您需要在 Apache 中进行的特定配置是mod_authz_host。它将让您根据 Apache 称为“环境变量”的各种因素（包括用户代理）过滤访问请求。您可以从您的自定义用户代理允许，然后从所有拒绝。

警告：综上所述，基于用户代理的过滤并不是实现您想要的功能的正确方法。服务器端控制只是保护您的应用程序免受未经授权访问的开始。应使用某种 API 密钥对 Web 服务（例如您正在开发的服务）进行身份验证。许多 REST API 正是这样做的。如果您不确定如何实现基于密钥的加密，请咨询专家（否则将面临后果）。

后续行动：实施公钥加密是正确完成工作的众多方法之一。在你深入研究之前，让我说你身处一个充满伤害的世界。查看不可或缺的“ 1 小时内您需要了解的有关密码学的一切”。请注意，他在演示文稿中六次说“请教密码学家”这个短语。简而言之，您的服务器应该能够对任何请求肯定地回答以下问题：

1. 我可以保证这个请求来自 iOS 应用程序吗？
2. 我能保证这条消息没有被篡改吗？
3. 我能保证这个用户就是他们声称的那个人吗？
4. 我可以保证该用户有权执行他们要求执行的操作吗？

正如您在演示文稿中看到的，即使是像亚马逊这样的知名 API 也不总是正确的。我相信您的团队中需要一位专家，至少可以让您的应用程序的这一部分正确无误。