如何确保后端API仅被自有客户端调用及公开接口令牌访问控制方案

问题1：如何确保后端API仅被我方客户端应用调用，不被Postman等工具访问？ #

没有绝对的防拦截方案，但可以通过以下方式大幅提高非法调用的门槛：

• 客户端证书验证：给安卓应用内置专属客户端证书（如PKCS#12格式），后端API强制校验请求携带的证书合法性。只有持有有效证书的请求才能通过，Postman这类无证书的工具无法正常调用。注意证书要存在安卓安全存储区（如Keystore），避免被逆向提取。
• 请求签名校验：客户端每次请求时，用专属密钥对请求参数、时间戳、设备标识等信息做HMAC-SHA256签名，将签名放入请求头。后端用相同密钥和算法重新计算签名，仅匹配的请求才允许通过。密钥需通过代码混淆等方式隐藏，降低被反编译获取的概率。
• 自定义请求头校验：添加几个仅我方客户端会携带的自定义请求头（比如结合设备信息生成的哈希值），后端校验头字段的存在性和正确性。这种方式易被逆向破解，但可作为辅助手段配合其他方案使用。
• 代码混淆与加固：用ProGuard或第三方加固工具对安卓应用代码混淆加固，增加攻击者逆向分析、获取敏感信息（如密钥、证书）的难度。

问题2：未登录公开接口如何添加令牌访问控制？这类场景的常规处理方式 #

针对无需登录的公开接口，通常采用匿名令牌机制实现访问控制，具体步骤如下：

1. 生成匿名令牌：后端提供一个无需登录的令牌生成接口，客户端在首次启动或进入匿名会话时调用该接口，获取临时匿名令牌（推荐JWT格式）。令牌可包含客户端标识、过期时间、设备信息等字段，用后端密钥签名保证不可篡改。
2. 双令牌校验逻辑：公开接口的鉴权逻辑同时支持两种令牌：已登录用户的正式访问令牌、合法的匿名令牌。后端校验令牌签名有效性、是否过期，通过则允许访问。
3. 控制令牌生命周期与权限：匿名令牌设置较短过期时间（比如1小时），过期后客户端自动重新获取。同时给匿名令牌分配有限权限，仅允许访问公开数据，禁止操作敏感功能。
4. 请求频率限制：针对匿名令牌设置更严格的限流规则（比如每分钟最多10次请求），防止恶意爬虫或攻击者利用匿名令牌批量抓取数据。
5. 绑定设备信息：生成匿名令牌时，将设备唯一标识（如OAID、Android ID）嵌入令牌，后端校验请求中的设备信息与令牌内的是否一致，降低令牌被盗用的风险。

内容的提问来源于stack exchange，提问作者Curious Dev