如何将敏感数据从 Android 应用程序传递到 Google Cloud Endpoints？

Question

我正在尝试在 Google Endpoints 中创建一种简单的最小会话管理系统。

我在我的 Android 应用上对用户进行身份验证。为了进行经过身份验证的 Endpoint API 调用，我计划通过在第一次从 Android 应用程序调用 Endpoints API 时传递 idToken 在 Endpoint 服务器上验证用户一次。

然后，我会为该用户分配一个session_id（比如一个数字）。这个session_id 将被传回给那个安卓应用。 Cloud Endpoint 服务器在接下来的 24 小时内不会验证用户。

当 Android 应用程序使用该 session_id 调用端点 API 时，假设它来自经过身份验证的用户，我将执行所需的操作。

关注
如果有人嗅到session_id，他将能够执行经过身份验证的用户的操作。

问题 1 将敏感数据（如session_id）从 Android 应用程序传递到 Google Cloud Endpoints 是否安全（且方法正确）？

Q 2 即使我没有为我的网站启用 HTTPS，Android 应用程序和 Cloud Endpoints 之间的所有通信是否默认通过 HTTPS 完成？ Official doc 说：

重要提示：Google Cloud Endpoints 需要 SSL。如果您需要访问 您在不支持 SSL 的系统中的后端 API，您需要 更新系统以支持 SSL 或使用代理。

另一个Official doc 说：

在两个方法装饰器中，我们提供了指定位置的路径 该方法服务于请求。指定的值附加到 API 路径，例如，如果指定了值 hellogreeting， 路径是 https://your-app-id.appspot.com/_ah/api/helloworld/v1/hellogreeting。 对于 greetings.getGreeting，路径是 hellogreeting/{id} 其中 {id} 是必需的，否则您的 API 方法将不会收到传入的请求 论据。

注意： 我没有为我的网站启用 SSL (HTTPS)。我在 web 和 Android/Java 上使用 GAE Python。我有一个网站和一个 Android 应用程序，我正在从 Google 身份验证迁移到基于 Google Identity Toolkit 的多个提供商身份验证（如 Facebook、Google 等）。

Answer 1

第一季度。如果仅通过 HTTPS 传递，则可以假定它是安全的（来自嗅探），尽管我不确定它是否是正确的方式，这取决于您的实现。你提到这将是一个数字。什么样的号码？随机生成？顺序？

另外，您使用的是用户 API / webapp2 吗？我喜欢内置的create_auth_token 功能，它可以节省您一些时间并在您的情况下替换session_id，然后您可以使用get_by_auth_token 或validate_token 获取相应的用户或简单地验证令牌和@987654327 @ 使令牌无效。

如果您不使用用户 API / webapp2，最好不要使用随机数或序列号作为令牌，而是使用类似 token = HMAC('A_VERY_LONG_AND_SECRET_KEY', user_id + todays_date) 的东西，它是唯一的，有效期为 24 小时（从午夜开始，而不是自创建以来时间），并且只要密钥是秘密的，它就是秘密的，这是一个更好、更安全的选择。

第二季度。即使您的自定义域没有 SSL 证书，您的 APPID.appspot.com 也有（尝试通过 httpS:// 访问您的项目，您会看到）。

Cloud Endpoints 始终通过 SSL 提供 API（实际上无法更改）。

Google 向您发出的警告是关于客户端不支持 SSL 连接的可能情况，这种情况在现实世界中不会经常发生。