Sno*_*man 7 security iphone web-services ios
如果这对某些人来说可能是常识,我会道歉,但我还在学习.我有一个iOS应用程序,可以将文件同步到Web服务器.一旦用户登录设备,他仍然会登录,除非他退出.目前,每当用户发起服务器请求(例如添加,更新或删除文件)时,我只将用户的电子邮件而不是密码发送到服务器,因为用户已经在设备上进行了身份验证.
我是否应该在每次提出请求时发送用户存储的密码,并让服务器在继续处理请求之前对其进行身份验证？为什么或者为什么不？
您应该发送会话标识符,而不是电子邮件地址.
当用户被成功认证时,会话标识符是由加密随机数生成器选择的大数(128位足够).它在用户的Web设备中设置为"cookie",并通过安全通道(TLS)与每个请求一起发送.
电子邮件地址是公开的 您只能对包含密码的请求进行身份验证,例如密码或会话标识符.