两个GAE应用程序之间的稳定身份验证

Question

我正在尝试编写一个RESTful Google应用程序引擎应用程序（Python），该应用程序只接受来自我编写的另一个GAE的请求。我不喜欢任何的，我认为能完成这一操作方式，请告知如果你知道的东西比：

• 获取SSL设置，只需添加上，我的消费应用程序将发送请求的凭据。我不喜欢它，因为SSL会减慢速度。

• 安全性低。在我的请求中添加一个随机数字，该数字位于Xmod0中，其中X是两个应用程序都知道的秘密数字。我只是不喜欢这个。

• 检查HTTP标头以查看来自哪里的请求。对于我的应用程序的数据，这个选项是我最不讨厌的东西，不是很多的处理，欺骗HTTP请求并不值得。

是否有任何其他干净的解决方案呢？

Answer 1

使用HMAC。在每个应用中嵌入相同的秘密，并使用HMAC对请求和响应进行签名。不要忘记包含随机数和时间戳以防止重放攻击！