V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
V2EX  ›  dzdh  ›  全部回复第 35 页 / 共 77 页
回复总数  1521
1 ... 31  32  33  34  35  36  37  38  39  40 ... 77  
2022-07-26 22:07:16 +08:00
回复了 dayeye2006199 创建的主题 信息安全 为什么使用 https 调用 API 仍然推荐需要使用 key 来签名
@datoujiejie221

不。我说的是 [客户端证书] 。必须是指定 CA 签发(私有)的证书,并且能被正确解析的从证书中解析出 COMMONNAME 当作 UID 使用的。

不是用于 HTTPS 连接的权威 CA 证书。

rsasign 指的是使用私有 RSA Private Key 对指定字符串生成的 sign 如( php: openssl_sign ($data, $private_key, $sign ))
2022-07-26 21:05:14 +08:00
回复了 dayeye2006199 创建的主题 信息安全 为什么使用 https 调用 API 仍然推荐需要使用 key 来签名
@datoujiejie221

我有个疑问。用 hmac/md*/sha*(rsa 除外啊)我不是也可以无限尝试嘛? 因为你采用的哈希算法和排列方式是公开的呀。

无非是

https://xx?key=$RANDOM 无限



https://xx?{hmac(key1value1,key2value2,$RANDOM_SALT} 的问题吗?



如果是 rsasign ,那是不是一样可以客户端证书呢?
2022-07-26 20:25:33 +08:00
回复了 dayeye2006199 创建的主题 信息安全 为什么使用 https 调用 API 仍然推荐需要使用 key 来签名
@seth19960929

#42
服务器都被入侵了你告诉我有什么手段还能是安全的?就算你硬件加密也屁用没有啊?
#43
那 stripe\google\facebook\paypal 就都不安全呗?


@vantis #44
不是光 https 就没别的了。https+ http basic auth 一样能证明啊
2022-07-26 18:27:16 +08:00
回复了 dayeye2006199 创建的主题 信息安全 为什么使用 https 调用 API 仍然推荐需要使用 key 来签名
@seth19960929 #38/39

抬杠。

难不难?难。 能不能?能。所以因为这个就 必须、一定、绝对 要前端签名吗?而且一直说的是 S-S 。
2022-07-26 18:24:14 +08:00
回复了 dayeye2006199 创建的主题 信息安全 为什么使用 https 调用 API 仍然推荐需要使用 key 来签名
https://v2ex.com/help/api

包括 v2 的 api 也是 有个固定的 token 就行。我保护好我的 token 即可,泄露了就重新生成。Server-Server 的模式。

sign 私以为适合的是类似 S3 的私有文件开放给他人下载场景用,三方用户无需任何配置可直接凭 URL 访问资源。
2022-07-26 17:59:23 +08:00
回复了 dayeye2006199 创建的主题 信息安全 为什么使用 https 调用 API 仍然推荐需要使用 key 来签名
2022-07-26 17:50:01 +08:00
回复了 dayeye2006199 创建的主题 信息安全 为什么使用 https 调用 API 仍然推荐需要使用 key 来签名
@seth19960929 #29
太能了。客户端抓个包而已。

https://zhuanlan.zhihu.com/p/355450670
https://blog.csdn.net/qq_44862120/article/details/107467725
https://www.cnblogs.com/cherish-hao/p/12815603.html

ios 越狱后照抓不误。函数 hook 完每一步干了啥都清清楚楚。S-S 服务端,没必要,可以客户端证书。C->S 端,更更没必要。
2022-07-26 17:47:27 +08:00
回复了 dayeye2006199 创建的主题 信息安全 为什么使用 https 调用 API 仍然推荐需要使用 key 来签名
@jiulang #32
精辟!
2022-07-26 17:47:16 +08:00
回复了 dayeye2006199 创建的主题 信息安全 为什么使用 https 调用 API 仍然推荐需要使用 key 来签名
@ychost
@andyskaura

的确不冲突。但是。是否 [必须] 要 md5/sha*/hmac* + salt 。直接在 https 基础上 basic auth 行不行呢?
2022-07-26 12:50:04 +08:00
回复了 dayeye2006199 创建的主题 信息安全 为什么使用 https 调用 API 仍然推荐需要使用 key 来签名
@seth19960929 #16

这场景都是 C->S 。那 S-S 呢。

C->S 自己实现一套 Sign 的意义呢。浏览器端 JS 公开的,sign 的 salt 哪里来呢。安卓端 Hook 之后一览无遗。图个啥呢。
2022-07-26 09:20:57 +08:00
回复了 dayeye2006199 创建的主题 信息安全 为什么使用 https 调用 API 仍然推荐需要使用 key 来签名
好多回帖。就没人说说为啥列举的几个 server-side 的 api 他就是不用签名呢
2022-07-25 16:56:20 +08:00
回复了 Zel 创建的主题 iPhone iPhone 双卡情况下,怎么查看收到的短信发给的是哪张卡?
2022-07-25 14:51:52 +08:00
回复了 qfdk 创建的主题 程序员 手机端 OAuth2 认证
看了一下 PKCE 是防止被拦截请求。本质上仍然需要一个 CODE 在本地。否则你调用接口的凭据是什么呢。
2022-07-22 12:47:17 +08:00
回复了 dzdh 创建的主题 Go 编程语言 有日志(stdout or file) qps 4k,没日志 qps 10w. why?
2022-07-22 08:56:37 +08:00
回复了 dzdh 创建的主题 Go 编程语言 有日志(stdout or file) qps 4k,没日志 qps 10w. why?
@sadfQED2

2. 好像更满了....
3. 这块儿有好用的包吗
2022-07-22 08:24:15 +08:00
回复了 dzdh 创建的主题 Go 编程语言 有日志(stdout or file) qps 4k,没日志 qps 10w. why?
@mstmdev

goos: darwin
goarch: amd64
cpu: Intel(R) Core(TM) i7-7820HQ CPU @ 2.90GHz
BenchmarkStdout-8 10000 261816 ns/op
2022-07-22 08:17:27 +08:00
回复了 dzdh 创建的主题 Go 编程语言 有日志(stdout or file) qps 4k,没日志 qps 10w. why?
@Trim21 嗷嗷快。嗯。
2022-07-21 18:08:41 +08:00
回复了 LxnChan 创建的主题 Linux Ubuntu 有最小化安装的选项吗
oralce linux 更清爽
2022-07-21 12:56:59 +08:00
回复了 qiqiqi7001 创建的主题 Java 在 Java 中为什么不全部使用 static 方法?
@murmur #8

fuck 要判断两个 person 性别是否一致吗
2022-07-20 21:38:28 +08:00
回复了 superliwei 创建的主题 分享创造 🎁 BoardOS 给 V 友发福利了!
占楼
1 ... 31  32  33  34  35  36  37  38  39  40 ... 77  
关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   实用小工具   ·   2421 人在线   最高记录 6679   ·     Select Language
创意工作者们的社区
World is powered by solitude
VERSION: 3.9.8.5 · 33ms · UTC 05:56 · PVG 13:56 · LAX 22:56 · JFK 01:56
Developed with CodeLauncher
♥ Do have faith in what you're doing.