1. Antara muka menggunakan kunci dan enkripsi md5 ID pengguna. Kemudian tanda yang disulitkan diluluskan sebagai parameter (adakah kaedah penyulitan yang mudah itu selamat?).
2. Maka inilah masalahnya Jika permintaan pengguna ditangkap, orang lain juga boleh mensimulasikan permintaan itu. Jadi bagaimana anda tahu bahawa permintaan itu dikeluarkan oleh APP anda sendiri?
Jika hanya maklumat apl disertakan dalam permintaan, orang lain juga boleh mensimulasikannya.
3 Oleh kerana antara muka dihantar daripada apl, pengguna hanya boleh melihat maklumat ini dengan mengambil pakej setempat. Adakah mudah untuk pengguna diminta oleh orang lain untuk pakej sekarang?
![[Web front-end] Permulaan pantas Node.js](https://img.php.cn/upload/course/000/000/067/662b5d34ba7c0227.png)
Sangat disyorkan untuk menggunakan SSL untuk melindungi keselamatan komunikasi api web Bukan idea yang buruk untuk melaksanakannya sendiri, tetapi ia pastinya tidak selamat seperti SSL. Pendekatan anda akan dipantau oleh orang tengah, dan tanda itu akan dieksploitasi secara langsung.
Boleh mensimulasikan permintaan. Jika pihak lain telah menyahkompilasi apl anda dan memahami proses pengesahan, ia pasti boleh disimulasikan.
Jika tiada perlindungan SSL, http dihantar dalam teks yang jelas Keadaan ini tidak boleh dipantau secara tempatan sahaja. Jika anda menggunakan SSL untuk melindungi keselamatan komunikasi, anda boleh memastikan bahawa ia tidak akan dipantau oleh orang tengah. Sama ada ia mudah untuk dipaparkan bergantung pada nilai apl anda.
Syorkan subjek untuk mengetahui lebih lanjut tentang: pemantauan man-in-the-middle dan serangan ulang tayang
Saya melihat orang melakukan ini sebelum ini. Terdapat antara muka khas untuk mendapatkan kunci itu sah selama 2 hari.
Selepas melaraskan semua antara muka, token terus menggunakan kunci serta format parameter yang sepadan untuk melaksanakan penyulitan md5. Dalam erti kata lain, parameter tidak mempunyai sebarang kunci.
Secara umumnya, pakej akan diminta berkali-kali, parameter akan berubah, dan token akan berbeza.
Selain itu, walaupun anda mendapat kunci, tidak berguna jika anda tidak tahu cara pihak lain memasangnya.
Anda boleh mencuba Json Web Token