安全问题

现在的移动互联网应用，大多是通过客户端带上数据请求不同动作的api来实现不同业务要求的。即是说，通过抓包就可以获取到请求的api和发送、接收到的数据。如果没有一定的安全防范意识，很容易被攻击。
这里推荐一款叫fiddler的抓包工具，使用方法自行搜索。下面是对车来了App的抓包截图：
没有使用https，所以数据完全暴露出来了。可以看到我经常坐的19路其中一辆公交还有12分钟到站。

用户身份验证

Web应用可以使用session来保存用户会话，App可没有这东西。
下面是一个很致命的设计：

只要带上userId，服务端就会为该用户执行操作。就是说任何人都可以假冒123这个用户执行一些操作。
嗯，打死都不承认上面这种设计我曾经写过。

其实参考session的实现原理就可以解决这个问题。大多数情况，Session都是结合客户端的Cookie来实现的。
Web中Session的实现：
1.用户的登录名、密码校验正确后，我们通常会将用户的一些信息存入到Session中。
2.此时服务端会生成一个全局唯一标识SessionID来标记这个用户生成的Session，并将该SessionID通过Set-Cookie回应给浏览器。
3.So，浏览器访问该网站的其他页面时只要带上了这个SessionID,服务端就知道它面对的用户存储在了哪个Session中，程序便可取出来用。

如何实现

那么移动端App怎么玩？与Web的Session是一样的，只不过我们要自己实现了。

简单实现
1.用户名密码校验无误后，生成UUID，存储到该用户记录中对应的字段中
2.将该UUID返回给前端(Android、iOS等)
3.App请求其他需要用户登录的接口时，带上该字段
4.服务端校验无误后方可继续执行业务

进一步完善以便实现其他需求的话，可以在生成UUID的同时，记录下用户ip、设备ID、过期时间等~
如：发现设备ID与登录时的不同，要求其重新登录~

当然，校验技术不可能是完美的，Hacker们有太多的方法骗过服务端。作为开发者，能做的是尽可能地提高验证水平和Hacker的破解成本；而作为用户，不要总想着蹭网啦，免费或虚假Wifi的后面可能有人正抓着包…