Flutter通过REST API向PostgreSQL提交数据的安全最佳实践咨询

一、替换硬编码令牌：改用动态身份验证机制 #

硬编码固定令牌是高危操作，反编译后会直接泄露，必须换成动态、短期有效的身份凭证：

• OAuth2 + JWT（JSON Web Token）：用户完成登录（账号密码/第三方登录均可）后，服务器返回短期JWT（建议15-30分钟有效期），将其存储在Flutter的安全存储组件（如flutter_secure_storage）中，每次请求时把JWT放在Authorization头的Bearer字段，绝对不要放在URL参数里（URL会被日志记录，易被截取）。
  调整后的Flutter代码示例：

  import 'package:flutter_secure_storage/flutter_secure_storage.dart';
  import 'package:http/http.dart' as http;
  import 'dart:convert';
  
  final storage = FlutterSecureStorage();
  
  // 登录后存储JWT
  Future<void> saveJwt(String jwt) async {
    await storage.write(key: 'jwt_token', value: jwt);
  }
  
  // 提交数据时携带JWT请求
  Future<void> submitUserLikes() async {
    String? jwt = await storage.read(key: 'jwt_token');
    String apiUrl = "$current_server_address/api/user-likes";
  
    final response = await http.post(
      Uri.parse(apiUrl),
      headers: <String, String>{
        'Content-Type': 'application/json; charset=UTF-8',
        'Authorization': 'Bearer $jwt',
      },
      body: jsonEncode(<String, dynamic>{
        'userID': '1234567969855478',
        'userDisplayName': 'John Jones',
        'liked': true, // 用布尔值而非字符串，减少解析风险
        'dateLiked': '2022-12-05T00:00:00Z', // 用ISO 8601格式，适配PostgreSQL日期类型
        'eventLiked': 'Music concert at The stadium',   
      }),
    );
  }
  

  服务器端需验证JWT签名（用密钥或公钥），同时配置刷新令牌机制，在JWT过期前自动获取新凭证，避免用户重复登录。

二、强制传输层安全：全链路HTTPS #

所有API请求必须使用HTTPS，禁止HTTP传输。HTTPS会加密请求和响应内容，防止中间人窃听或篡改数据。同时PostgreSQL数据库连接也建议开启SSL加密，避免数据在数据库传输环节泄露。

三、双重数据验证：客户端+服务器端 #

• 服务器端严格校验：绝不信任客户端传来的任何数据，必须在服务器端做多层校验：
  • 验证userID是否存在，且当前JWT对应的用户与userID一致（防止越权操作，比如用户篡改ID提交他人数据）；
  • 校验liked的布尔类型合法性、dateLiked的格式有效性、eventLiked的长度限制等；
  • 配合PostgreSQL的字段约束（如NOT NULL、数据类型校验），形成双重保障。
• 输入过滤与防注入：对用户输入内容（如eventLiked）做XSS防护，操作PostgreSQL时必须用参数化查询，绝对禁止拼接SQL语句。
  示例PostgreSQL参数化查询（Node.js环境）：

  const insertQuery = `INSERT INTO user_likes (user_id, display_name, liked, date_liked, event_liked)
                       VALUES ($1, $2, $3, $4, $5)`;
  await pool.query(insertQuery, [userId, displayName, liked, dateLiked, eventLiked]);
  

四、客户端安全强化 #

• 敏感数据安全存储：用flutter_secure_storage存储JWT、用户凭证等敏感信息，禁止使用SharedPreferences（明文存储，易被获取）。
• 代码混淆：Flutter开启代码混淆，提升反编译难度。Android端在android/app/build.gradle中配置：

  buildTypes {
    release {
      minifyEnabled true
      useProguard true
      proguardFiles getDefaultProguardFile('proguard-android.txt'), 'proguard-rules.pro'
    }
  }
  

  iOS端同步开启混淆与bitcode。
• 防重放攻击：请求中添加时间戳和随机nonce，服务器端校验时间戳（限制1分钟内有效），并记录nonce防止重复请求。

五、用户信息保护细节 #

• 最小化传输数据：无需传输服务器已存储的信息，比如UserDisplayName可直接通过userID从数据库获取，不用每次提交。
• 敏感字段加密存储：如果涉及手机号、邮箱等敏感数据，可在客户端用RSA公钥加密后传输，服务器端用私钥解密，同时PostgreSQL使用pgcrypto扩展对敏感字段加密存储，即使数据库被拖库也无法直接读取数据。

六、API限流与异常监控 #

• 请求限流：为API设置频率限制，比如每个用户每分钟最多提交10次点赞请求，防止恶意刷接口，可通过Nginx或服务器端限流库实现。
• 异常日志监控：记录无效JWT、越权操作等异常请求，实时监控API请求量与异常率，及时发现攻击行为。

内容的提问来源于stack exchange，提问作者JohnnyQ