V2EX › dzdh 的所有回复 › 第 75 页 / 共 89 页

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

1 ... 71 72 73 74 75 76 77 78 79 80 ... 89

❮

❯

2021-04-13 15:29:39 +08:00

回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？

@David1119 47

接口设计要求 CleintID，爬虫场景完全可以屏蔽 ClientID 。

其次，标题是 Server 端到 Server 端。即便是用户不小心暴露 API，依然可以屏蔽 ClientID，中断爬虫行为。该理由不成立。

2021-04-13 15:28:10 +08:00

回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？

@wentx 46

Charles 是依靠『中间人』来进行抓包的。

其次，如果真的使用 Charles，那是不是就意味着其已经控制了『物理机』？在控制『物理机』的前提下还有什么安全方案是可以保证『全安』的吗？并不能证明 HTTPS 环境下，签名模式的『必要性』

2021-04-13 15:26:28 +08:00

回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？

@newmlp 44

同理可证明，如果客户端不安全（如『签名模式』的密钥摆在明面上），那『签名机制』远没有『 HTTPS 』安全。该理由不成立。

2021-04-13 15:25:25 +08:00

回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？

@keyfunc 43

密钥泄露和签名所用的密钥泄露是同等效的，那同样也不能证明『签名机制』的安全。该理由不成立

2021-04-13 15:24:14 +08:00

回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？

@Telegram
几楼或者哪句话有『不需要账号密码』的意思，请指出。

2021-04-13 15:23:09 +08:00

回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？

@3dwelcome 63

对的，只是 Chrome 废除而已，无论是 Server 端还是 Client 端，只要你验证，依然是可以进行服务端身份鉴别的啊

2021-04-13 15:22:02 +08:00

回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？

@xuanbg HTTPS 能够保证传输安全已经足够了，真正的 API 请求安全（身份鉴别）不是依靠其传递的参数实现的吗？直接 HTTPS+HTTP Authenctication 一样的啊？

2021-04-13 15:20:30 +08:00

回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？

@AlisaDestiny 这个场景『签名机制』也没用，因为如果『支付密码』你泄露了呢？安全上两个方案一样的，甚至不如 HTTPS

2021-04-13 15:19:23 +08:00

回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？

@newmlp 如果客户端不安全『签名机制』也没啥用，这个理由不成立

2021-04-13 09:57:02 +08:00

回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？

@wanguorui123 39
理解。但是：

> 注意场景是 Server To Server

1. API 的接口设计的逻辑是否可以要求下单的时候带上一个发起方的 ID 呢？这个 ID 不就是个 nonce 么？根据这个 ID 也可以防止某个内部服务重复下单啊（注意场景是 Server 端到 Server 端，如 stripe 、paypal 、支付宝、微信的预下单接口）

2. 是否可以直接生成一个加密 token 在 token 里直接绑定 ip 、时间戳，然后这个 token 一次有效呢？只能由 openssl 解密（是的，没有仅仅只依靠 HTTPS ）

我指的签名仅仅指的是：按照规则排序然后拼字符串使用 shaX/mdX 的形式

2021-04-13 09:51:43 +08:00

回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？

@yukiww233 32

key 是被调用方分配 /颁发给调用方，或调用方主动在被调用方处登记注册的。如帐号密码

2021-04-13 09:50:00 +08:00

回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？

@pkoukk
注意场景 Server 端到 Server 端。没有浏览器。
即便有客户端的场景，哪个浏览器端的接口设计是有签名的请赐教

2021-04-13 09:48:50 +08:00

回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？

@ferock

这个『授权』是怎么定义呢？签名怎么体现『授权』呢？客户端证书是否也能实现呢？

2021-04-13 09:48:05 +08:00

回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？

@yukiww233 33
@wanguorui123 32
我接受请求啊，因为你的 KEY 是合法的啊（ stripe 的 user)。

但是针对某一个资源的操作如 x_id=N，只要我接口保持幂等，无所谓重放不重放吧？对实际业务 0 损失啊？即便有签名，也只是根据 timestamp 和当前服务器时间的差值决定是否拒绝请求，但是请求依然进来了啊。

2021-04-13 08:42:04 +08:00

回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？

@dzdh 漏酒 => 逻辑。

我一直怀疑我的键盘坏了 ...

2021-04-13 08:41:27 +08:00

回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？

@wanguorui123

参见 18 楼。

如 http://domain/path?order_id=x&sign=n 。是的没错，这个请求无法被篡改。

我可以直接不停的直接请求，这就是重放攻击对吧？那就单单是『签名』是怎么防止重放攻击的呢？难道不是 API 的露酒设计来检测 order_id 的请求次数么？或者 sign 的请求次数么？无论是否是签名都需要做这一步啊？

2021-04-13 08:39:34 +08:00

回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？

@ferock 比如？

2021-04-13 08:39:13 +08:00

回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？

@skull 对方不是服务端能怎样呢？

2021-04-13 08:38:41 +08:00

回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？

@crab Pinned Pub Key 还怎么中间人呢？防止客户的什么呢？

2021-04-13 08:38:17 +08:00

回复了 dzdh 创建的主题 › SSL › API 接口已经有 HTTPS 的前提下，为什么还需要签名机制？

@Vegetable 签名机制完全没必要，安全及重放等攻击的防止是靠接口逻辑设计的，不是靠签名的。

1 ... 71 72 73 74 75 76 77 78 79 80 ... 89

❮

❯