移动应用程序如何向服务器验证自己的身份？

Question

我们有一个带有服务和客户端移动应用程序（Android、iOS）的服务器。用户使用用户名/密码进行身份验证，但应用程序本身呢？我想限制对服务器的访问仅限于我的应用程序，我不想让用户参与其中，我想让它与用户登录过程分开。

第一个想法是在应用程序中保留某种密钥、密码、证书等（并使用它来加密来自服务器的随机挑战），但由于它是硬编码的，因此可以从代码中取出并由其他应用程序使用。

如果手机有一些安全存储来保存证书，访问它的密码将保存在应用程序中，以便再次被挖掘出来。

Answer 1

您可以拥有一个包含“受信任”应用设备的数据库，并将其链接到您的用户或设备数据库（也就是谁在使用谁）。您可以尝试一次性密码方法（在后台使用应用程序代码）并在用户每次与应用程序交互时进行身份验证。

我也同意可以获取设备中的所有内容（硬编码/存储），因此基于时间的解决方案可以有效地减少尝试进行未经授权的操作。