如何确保API仅接收桌面应用请求？硬编码密钥是否可被获取？

如何确保API仅接收桌面应用的调用请求？ #

和Web端依赖CORS限制域名不同，桌面应用没有浏览器的同源约束，得靠其他机制验证请求来源：

• 设备指纹校验：收集桌面设备的硬件标识（比如CPU序列号、主板UUID、硬盘ID），API服务器收到请求后比对预存的设备特征。但要注意，部分设备可能无法获取这些信息，而且硬件标识也存在被伪造的可能，建议搭配其他机制使用。
• 短期动态令牌：桌面应用启动时先向服务器申请一个有效期较短的动态令牌，后续所有API请求都带上这个令牌。服务器会验证令牌的有效性，以及令牌绑定的设备信息。就算令牌被截获，过期后也无法再使用，能降低风险。
• 客户端证书绑定：给桌面应用内置专属的TLS客户端证书，API服务器只接受携带有效证书的请求。可以给证书设置有效期，到期后应用自动更新证书。不过证书还是有被提取的风险，最好给证书加密码保护（但解密逻辑仍在应用内，还是可能被逆向破解）。
• 请求签名验证：每次请求时，应用用密钥对请求参数、时间戳生成签名，服务器用相同的密钥和算法验证签名。时间戳能防止重放攻击，但核心问题还是密钥的存储安全。

硬编码在桌面可执行文件中的密钥会被获取吗？ #

肯定会。不管是直接硬编码的明文密钥，还是经过简单加密的密钥，逆向工程师都能通过反编译、内存读取等手段提取出来——毕竟解密逻辑就在应用程序里，只要花点时间就能破解。

硬编码密钥只能作为最基础的验证手段，别指望它能保证绝对安全。如果一定要用，建议配合上面说的动态令牌、请求签名等机制，同时定期轮换密钥，减少密钥泄露后的影响。

内容的提问来源于stack exchange，提问作者joe p