无用户认证场景下，Xamarin移动端调用的.NET Core API接口保护方案问询

1. 应用级身份验证替代硬编码密钥 #

• 实现动态令牌机制：移动端首次启动时，向API提交设备指纹（如硬件ID、应用签名哈希、系统版本的组合信息），API验证信息合法性后返回短期有效临时令牌，后续请求用该令牌访问，过期自动重新获取。
• 校验应用签名：API端预先存储合法应用的签名哈希值，移动端请求时携带签名校验信息（Android通过PackageManager获取签名，iOS校验Bundle ID与签名），API直接验证签名有效性，全程不传输密钥。

2. 移动端代码混淆加固 #

• 对Xamarin编译后的应用启用代码混淆（可使用Xamarin自带工具或第三方混淆方案），增加逆向分析难度，让攻击者难以定位关键逻辑。
• Android端开启ProGuard/R8优化，iOS端启用Bitcode，进一步降低反编译后的代码可读性。

3. 请求上下文动态校验 #

• 添加请求签名机制：每次请求生成时间戳，结合设备信息用约定算法（如HMAC）生成签名，API端用相同逻辑验证签名，防止请求被篡改或重放。
• 设置请求频率限制：针对设备指纹或临时令牌配置请求阈值，拦截恶意批量请求。

4. Azure托管场景适配方案 #

• 配置Azure AD B2C匿名用户流：移动端通过该流获取短期访问令牌，API端验证令牌的发行者（Issuer）和受众（Audience）合法性，确保仅指定应用能获取有效令牌，无需用户登录，密钥由Azure统一管理。
• 借助Azure API Management中转：移动端仅向网关提交应用标识信息，网关验证后代为调用后端API，密钥存储在网关配置中，移动端全程不接触密钥。

内容的提问来源于stack exchange，提问作者Shant Hagopian