无需用户登录的Android应用与服务器请求鉴权方法咨询

针对无登录场景下的请求合法性验证，需要同时解决「确认请求来自你的合法应用」和「防止请求被篡改、重放」两个核心问题，以下是可落地的实用方案：

一、验证请求来自你的合法应用 #

1. 应用签名校验 #

• 先获取你的Android应用签名的哈希值（比如SHA-256），可通过Android Studio的「Signing Report」工具生成，或用命令行从签名文件导出。
• 服务器端预先存储这个合法的签名哈希值。
• 客户端每次请求时，通过PackageManager动态获取当前应用的签名，计算哈希后放在请求头（如X-App-Signature）中发送。
• 服务器收到请求后，提取请求头的签名哈希与存储的合法值对比，不匹配则直接拒绝请求。
• 注意：不要把签名哈希硬编码在客户端代码里，运行时动态计算能避免反编译泄露风险。

2. 代码混淆与应用加固 #

• 开启ProGuard/R8代码混淆，混淆客户端中与验证相关的逻辑，提升攻击者反编译后分析的难度。
• 使用第三方应用加固工具（如腾讯乐固、360加固保），防止应用被篡改、重打包——恶意攻击者修改应用后发送的请求，签名会与合法值不一致，服务器可直接拦截。

二、单次请求鉴权（防篡改、重放） #

1. 请求签名机制 #

• 客户端与服务器共享一个对称密钥（如HMAC密钥），注意不要将密钥硬编码在客户端，建议应用首次启动时从服务器获取，再用EncryptedSharedPreferences加密存储在本地。
• 客户端每次请求时按固定规则生成签名：
  1. 将请求路径（如/api/get-data）、精确到秒的时间戳、请求体（POST请求）拼接成字符串。
  2. 用共享密钥和HMAC-SHA256算法对拼接字符串生成签名。
  3. 将时间戳和签名放入请求头（如X-Timestamp、X-Request-Signature）。
• 服务器验证流程：
  1. 检查时间戳是否在有效范围内（如前后5分钟），拦截超时请求防止重放攻击。
  2. 用相同的路径、时间戳、请求体结合共享密钥计算签名，与请求头的签名对比，不一致则拒绝请求。

2. 请求频率限制 #

• 服务器端对每个请求来源（结合设备指纹、IP）设置频率阈值，比如1分钟内最多允许10次请求，超过则暂时拦截，避免恶意攻击者批量发起请求。

三、辅助验证手段（可选） #

设备指纹 #

• 收集设备的非敏感标识（如Android ID、设备型号、系统版本），组合生成设备指纹，请求时放在请求头中。
• 服务器可记录合法设备的指纹特征，对频繁出现的陌生指纹进行预警或拦截，但需注意设备指纹并非绝对可靠（如Android ID可能重置），仅作为辅助手段。

IP白名单（场景受限） #

• 若应用用户集中在特定区域，可设置IP白名单，仅允许指定IP段的请求。但该方案局限性大，用户使用代理、VPN时会失效，仅适合小众封闭场景。

内容的提问来源于stack exchange，提问作者Pawandeep Singh