安全的iPhone（iOS）/服务器通信

Question

我正在构建和iPhone应用程序，它会向运行在服务器上的应用程序发出请求。我正在使用REST构建服务器的应用程序API。什么是保护从iPhone到服务器的请求的最佳方式，反之亦然。 OAuth是一个不错的选择？你会推荐什么？

谢谢！

Answer 1

如果没有关于应用程序安全需求的更多信息，没有什么办法可以回答“最好”的问题。

通常，您应该考虑认证，授权和传输。

认证可以像用户名/密码登录一样简单。这可能是简单的身份验证，OAuth，Kerberos等，它是为了识别用户。授权涉及允许哪些组或个人访问哪些服务。您需要一种授予和维护权限的方法。最后，保护传输通常意味着使用加密服务，例如SSL上的HTTPS。这可以防止数据在传输过程中被拦截或更改。

还有很多其他的考虑因素需要考虑，包括如何保护个人身份信息，加密等，但是再一次没有可以推荐的万能解决方案。

Answer 2

如果它是您控制的服务器，请为手机和服务器之间的所有通信使用SSL/TLS连接。确保电话应用程序代码检查服务器的证书（例如，检查它是否是您的域名的证书，其中您的域名是硬编码到源代码中的）。这将防止窃听，中间人攻击，伪造消息以及数据在传输过程中受到其他攻击。