使用代理

Question

我有经过安全认证密钥的Web服务的Web应用程序时，避免人在这方面的中间人攻击。为了避免Man In The Middle攻击，每次请求的IP地址都会根据初始身份验证请求中的IP地址进行检查。但是，从使用代理服务器的计算机访问时，IP地址不一定相同。我能做些什么来避免这个问题？

Answer 1

IP地址很容易被欺骗，所以这是不是一个非常有用的后卫。

当试图实现协议级安全总是用别人的很好的测试和思索设计（最好实现）在你自己的，除非理由不这样做是引人注目。

http://en.wikipedia.org/wiki/WS-Security存在并简单地使整个链使用https应足以满足您的需求（只要安全开销不成问题）。

Answer 2

我想最简单的方法是使用SSL。

如果您不能使用SSL你可以使用XMLSigniture这将至少让你检测，如果消息已被改变。这里有一篇关于在Java中使用它的好文章：

http://java.sun.com/developer/technicalArticles/xml/dig_signature_api/