如何实现仅允许自有Android应用访问网站 拦截其他来源请求的简易方法

完全可以实现这类访问限制，核心是通过专属请求身份校验，让服务端能区分请求是来自你自己的Android应用，还是其他外部渠道（浏览器、爬虫、第三方应用等），未通过校验的请求直接拦截重定向即可。

首先要避开完全无效的弱校验逻辑：比如仅靠识别请求的User-Agent字段判断来源，这类校验极容易被伪造——任意工具只要把UA改成你App对应的字符串，就能绕过限制，没有实际防护作用。
有效简易校验的核心逻辑是：在Android客户端和网站服务端之间，设置一套双方知晓、外部无法轻易复刻的请求标识生成规则，服务端在所有请求入口做统一校验，不满足规则的请求一律不返回业务内容。

• 第一步：在网站服务端搭建全局请求拦截中间层
  所有访问网站的请求，必须先经过这个中间层校验，不直接响应后端业务接口；默认规则下，所有未通过校验的请求，直接302重定向到提前制作好的「访问受限提示」静态页面，不返回任何接口数据。
• 第二步：和自有Android端约定专属校验规则
  不需要引入复杂的加密SDK，用通用哈希算法就能实现：
  1. Android端首次启动时，生成随机设备标识、当前时间戳，搭配一段仅客户端和服务端知道的固定字符串盐值，做MD5哈希运算，生成固定长度的校验token
  2. App端后续发起所有网站请求时，把这个token放到自定义请求头中（比如X-Custom-App-Verify），不要放在URL参数里，避免被访问日志、代理工具抓取泄露
• 第三步：服务端拦截层做校验匹配
  1. 从请求头中提取对应的校验token字段，按照和Android端完全一致的算法，结合请求携带的时间戳、设备标识参数重新计算哈希值，和客户端传来的token做比对
  2. 增加时间有效性校验：如果请求携带的时间戳和服务器当前时间的差值超过5分钟，直接判定为无效请求，防止被人抓包后重放攻击
  3. 比对通过的请求才放行到对应业务接口，不通过的直接触发重定向到受限页
• 第四步：做基础防护加固
  1. 给校验token加短时效失效逻辑：Android端每1小时自动重新生成一次新的校验token，服务端在缓存中维护有效的token列表，过期的token自动清除
  2. 对Android端代码做基础混淆，避免盐值被直接明文提取，对普通的抓包、反编译尝试已经有足够的防护强度

• 这套简易方案可覆盖90%以上的常规拦截场景：普通浏览器、通用爬虫、第三方非授权应用因不知晓双方约定的盐值和生成规则，无法计算出有效校验token，请求会被直接拦截重定向。
• 若需对抗专业逆向破解（如攻击者反编译App提取盐值、模拟合法请求），该简易方案防护强度不足，需升级实现双向SSL证书绑定、设备完整性校验等专业能力，属于高成本开发范畴，不符合简易落地的要求。

内容的提问来源于stack exchange，提问作者Arren