如何保障Laravel API安全？仅允许自有APK调用的方案咨询

1. APK签名校验 #

在APK打包时生成专属签名，API端存储该签名的哈希值。每次请求时，APK将签名哈希值通过请求头（比如X-APK-Signature）发送，Laravel端在中间件中校验该哈希是否与存储的一致。

• 实现思路：在Laravel中创建自定义中间件，获取请求头中的签名哈希，与.env中配置的合法值对比，不匹配则返回403。
• 注意：不要把签名哈希明文放在APK代码里，可通过JNI或者混淆处理避免被反编译获取。

2. 自定义User-Agent校验 #

为你的APK设置唯一的User-Agent标识，API端在中间件中校验请求的User-Agent是否匹配预设值。

• 示例中间件代码片段：

public function handle(Request $request, Closure $next)
{
    $validUserAgent = env('VALID_APK_USER_AGENT');
    if ($request->header('User-Agent') !== $validUserAgent) {
        return response()->json(['message' => 'Unauthorized'], 403);
    }
    return $next($request);
}

• 提示：User-Agent容易被伪造，建议结合其他防护手段一起使用。

3. 请求频率限制（Rate Limiting） #

利用Laravel自带的限流功能，对API接口设置严格的请求频率，防止恶意爬虫或伪造请求频繁调用。

• 可以在路由或控制器中配置：

Route::middleware('auth:api', 'throttle:60,1')->group(function () {
    // 你的API路由
});

• 说明：这里设置为1分钟最多60次请求，可根据业务调整阈值。

4. 设备指纹校验 #

收集APK运行设备的唯一标识（比如Android ID、硬件信息的哈希组合），请求时携带该指纹，API端校验指纹的合法性。

• 注意：Android ID可能会因设备重置改变，建议组合多个硬件信息生成稳定的指纹，同时对指纹进行加密传输。

5. Passport令牌加固 #

• 缩短Passport访问令牌的有效期，使用刷新令牌机制定期更新，减少令牌泄露后的风险。
• 启用令牌撤销功能，当APK端检测到异常时，主动调用接口撤销令牌。

6. 请求参数签名 #

对每次请求的参数（包含时间戳）进行签名，APK端用预设密钥生成签名，API端用相同密钥和参数重新计算签名并对比。

• 示例流程：
  1. APK端将请求参数按顺序拼接，加上时间戳和密钥，生成MD5/SHA256签名。
  2. 将签名放在请求头（比如X-Request-Signature），时间戳放在X-Timestamp。
  3. API端先校验时间戳是否在有效窗口（比如5分钟内），再重新计算签名对比。

内容的提问来源于stack exchange，提问作者Mohamad Murad