用户认证前的安全 Rest-Service

Question

我有一个提供多种休息服务的 Web 应用程序（Jersey）。大多数端点都由 BASIC 身份验证保护。此外，我使用 SSL 进行传输，并为每个呼叫请求 POST。 客户端/消费者是安卓应用。

到目前为止一切顺利。唯一似乎易受攻击的服务是注册。这是调用的“第一个”服务，并且用户还不存在。所以我不能使用 OAuth 等。我还必须保持端点易于访问以使用户能够注册。

如何保护此服务，使其不会被充斥我数据库的机器人发送垃圾邮件？

Answer 1

这些怎么样？

1. 在请求参数中使用带有令牌的注册链接。确保令牌在某个时间后过期。您也可以为客户端创建一个令牌端点 url 以获取有效令牌。
2. 在您的请求中使用自定义标头或动态自定义标头。此外，您可以检查动态自定义标头以验证请求的真实性。
3. 在注册完成后使用注册确认工作流程，例如电子邮件/文本验证。每天运行一个流程以删除任何用户帐户，这些帐户在 x 天内未经过验证。

我认为您不能真正以 HTTP 方式保护注册 URL。恕我直言，任何拥有注册网址的人都可以成为尝试注册的合适人选。所以如果你问我，选项 3 比其他选项更好。