Xamarin Forms对接WordPress用户认证的安全性及替代方案咨询

你当前的认证方案存在严重安全风险，绝对不可以在生产环境使用，核心风险点如下：

• 即使使用HTTPS协议传输，GET请求的账号、密码参数会直接拼接在URL中，这类查询参数会被服务器访问日志、CDN节点日志、中间代理日志默认明文存储，一旦日志出现泄露，所有用户的明文账号密码都会直接暴露。
• 用GET请求传递敏感身份凭证本身违反HTTP协议设计规范，GET请求设计初衷是用于只读资源查询，不应该承载密码这类高敏感信息。
• 后续使用的WordPress原生Cookie没有适配移动端的权限管控、过期策略，一旦Cookie被窃取，攻击者可以直接冒用用户身份操作账号。

根据你的场景，推荐以下几类适配WordPress生态的认证方案，安全等级从高到低排列：

1. 原生REST API OAuth 1.0a 认证

属于WordPress核心REST API原生支持的认证方案，不需要安装额外第三方插件。通过签名机制避免明文传输用户密码，每次请求的签名都是临时生成的，即使请求被截获也不会泄露用户的永久凭证，安全等级最高。

2. JWT（JSON Web Token）认证

是移动端应用对接WordPress最常用的方案，只需要安装官方维护的JWT认证插件即可使用，流程如下：

• 移动端发起POST请求，将账号、密码放在HTTPS请求体中传递，请求体内容不会被日志默认记录，传输全程加密
• 服务端返回有效期可控的JWT令牌，后续所有请求都将令牌放在请求头Authorization: Bearer <TOKEN>中传递即可
  该方案不需要维护Cookie状态，天然适配移动端场景，还可以配置短时效令牌+刷新令牌机制，大幅降低凭证泄露后的风险。

3. 原生应用密码（Application Passwords）方案

WordPress 5.6及以上版本原生支持该能力，无需额外插件。可以引导用户在WordPress个人后台为你的APP生成专属的应用密码，也可以通过官方授权流程完成颁发，你本地仅存储该专用密码，即使泄露也不会影响用户主账号的密码安全，且用户可以随时撤销对应应用的访问权限，风险可控。

4. 现有方案的最小改造成本优化（仅用于临时过渡）

如果你暂时无法替换方案，必须先做以下调整降低风险：

• 把所有携带敏感参数的GET请求改为POST请求，账号、密码等参数全部放在请求体中传递，禁止出现在URL里
• 配置服务器日志过滤规则，确保请求体中的敏感参数不会被明文记录到日志中
• 移动端开启SSL Pinning，避免中间人攻击截获HTTPS请求的明文内容

内容的提问来源于stack exchange，提问作者Stapyman