[解惑] 關(guān)于野狗安全域名和超級(jí)密鑰

fai1017 發(fā)布于2019-08-20 10:45 / 2559人閱讀

摘要：關(guān)于野狗的安全域名野狗的安全域名是為了控制域名對(duì)數(shù)據(jù)讀取的影響舉個(gè)例子如果我們不設(shè)置安全域名的情況下我們的網(wǎng)站對(duì)我們有什么影響假設(shè)我是一個(gè)非常牛逼的人那么我可以隨隨便便把一個(gè)網(wǎng)站的界面扒下來(lái)并且部署到自己的服務(wù)器上面讓你分不清是李逵還是李鬼

關(guān)于野狗的安全域名

野狗的安全域名是為了控制域名對(duì)數(shù)據(jù)讀取的影響,舉個(gè)例子,如果我們不設(shè)置安全域名的情況下,我們的網(wǎng)站對(duì)我們有什么影響?
假設(shè)我是一個(gè)非常牛逼的人,那么我可以隨隨便便把一個(gè)網(wǎng)站的UI界面扒下來(lái)并且部署到自己的服務(wù)器上面,讓你分不清是李逵還是李鬼。之后,我只需要把源網(wǎng)站的數(shù)據(jù)接口通過(guò) console 控制臺(tái)進(jìn)行一系列的分析把數(shù)據(jù)拷貝過(guò)來(lái)就OK了!或者說(shuō)我可以在把UI拷貝過(guò)來(lái)的時(shí)候就可以把數(shù)據(jù)拷貝過(guò)來(lái)了!之后呢?我們就可以做一些壞壞的事情,你可以用李鬼的網(wǎng)站登錄,當(dāng)然你的網(wǎng)站為了吸引用戶注冊(cè)兩肯定開了第三方登錄,之后我就可以在李鬼網(wǎng)站的后臺(tái)等待著你登錄進(jìn)來(lái),進(jìn)而獲取你的微信ID,電話號(hào)碼,等等信息,之后我就可以做更壞的事情,這就不用我說(shuō)了吧!

那么, 怎樣可以控制某個(gè)網(wǎng)站可以訪問(wèn)某個(gè)數(shù)據(jù)接口呢? 野狗這邊就做了一個(gè)叫做安全域名的東西,你把它放在數(shù)據(jù)接口的后臺(tái),你把一個(gè)域名例如: www.wilddog.com 填寫到 野狗控制臺(tái) ,之后野狗就默認(rèn)之只有 www.wilddog.com 這個(gè)域名訪問(wèn)野狗的數(shù)據(jù)接口的時(shí)候才能給數(shù)據(jù)!其他的域名訪問(wèn)野狗的數(shù)據(jù)接口則訪問(wèn)不了,這樣來(lái)達(dá)到保證數(shù)據(jù)安全的問(wèn)題。

關(guān)于野狗的超級(jí)密鑰

每一個(gè)野狗App可以生成10個(gè)超級(jí)密鑰,其中第一個(gè)超級(jí)密鑰可以用于身份驗(yàn)證,這句話什么意思?

野狗在身份認(rèn)證(Auth)部分,有一個(gè)方法叫做 authWithCustomToken() 這個(gè) CustomToken 是利用 Wilddog ID Token生成器 + 超級(jí)密鑰生成的,或者你可以直接使用野狗提供的 超級(jí)密鑰 就可以了!

"其中只有第一個(gè)密鑰可用于身份驗(yàn)證" 這句話的意思是說(shuō):在開發(fā)者已有用戶認(rèn)證體系,并且想和野狗服務(wù)器集成的時(shí)候,你只能用第一個(gè)超級(jí)密鑰生成JWT(Json Web Token)。我們可以結(jié)合 Wilddog ID Token生成器 代碼來(lái)說(shuō)一下:

Map authPayload = new HashMap();
authPayload.put("uid", "1");

TokenOptions tokenOptions = new TokenOptions();
tokenOptions.setAdmin(true);

TokenGenerator tokenGenerator = new TokenGenerator(""); //YOUR_WILDDOG_SECRET 必須是超級(jí)密鑰列表的第一密鑰,否則認(rèn)證不通過(guò)!
String token = tokenGenerator.createToken(authPayload, tokenOptions);

在生成了一個(gè)JWT的密鑰之后,我們就可以按照野狗和現(xiàn)有的認(rèn)證系統(tǒng)集成的方法進(jìn)行集成就可以了。其他的9個(gè)密鑰我們就可以忽略了!