两个 GAE 应用程序之间的 Restful 身份验证

Question

我正在尝试编写一个 RESTful Google 应用引擎应用程序 (Python)，它只接受来自我编写的另一个 GAE 的请求。我不喜欢我想完成的任何方法，如果您知道比以下更好的方法，请告知：

• 获取 SSL 设置，并在我的消费应用程序将发送的请求中简单地添加凭据。我不喜欢它，因为 SSL 会减慢速度。

• 通过观察确保安全。在我的请求中添加一个位于 Xmod0 中的随机数，其中 X 是两个应用程序都知道的秘密数字。我就是不喜欢这样。

• 检查 HTTP 标头以查看请求来自何处。这个选项是我最不讨厌的，不是很多处理，而且对于我的应用程序的数据来说，欺骗 HTTP 请求并不值得。

还有其他干净的解决方案吗？

Answer 1

使用HMAC。在每个应用程序中嵌入相同的秘密，并使用 HMAC 对请求和响应进行签名。不要忘记包含随机数和时间戳以防止重放攻击！