Node.js公开HTTPS API如何获取移动App Bundle ID并实现白名单？

能不能像获取Origin那样从请求头拿到Bundle ID？ #

答案是不行——和浏览器会自动在请求头里带上Origin不同，移动应用（iOS/Android）的HTTP请求默认不会主动把Bundle ID（iOS）或者包名（Android）放到请求头里。这是因为移动平台的网络框架（比如iOS的URLSession、Android的OkHttp）没有这个默认行为。

要获取Bundle ID，必须让移动客户端的开发同学配合，在请求API时手动添加自定义请求头，比如：

• iOS端示例（Swift）：

  var request = URLRequest(url: URL(string: "https://your-api.com/endpoint")!)
  request.setValue("com.awesome-app.app", forHTTPHeaderField: "X-Bundle-ID")
  // 发送请求...
  

• Android端示例（Kotlin + OkHttp）：

  val client = OkHttpClient()
  val request = Request.Builder()
      .url("https://your-api.com/endpoint")
      .addHeader("X-Bundle-ID", "com.awesome-app.app")
      .build()
  // 发送请求...
  

之后你的Node.js中间件就可以通过req.headers['x-bundle-id']拿到这个值，再和白名单对比验证。

除了中间件之外的其他实现途径 #

如果不想只依赖中间件做验证，还有几种更安全可靠的方案：

• API密钥绑定
  给每个合法的移动/网页应用分配专属的API密钥，密钥和对应的Bundle ID/Origin绑定存储在服务端（比如数据库）。客户端请求时在请求头（比如X-API-Key）带上密钥，服务端验证密钥的有效性，同时检查对应的Bundle ID/Origin是否在白名单内。这种方式比单纯依赖自定义头更安全，因为密钥可以定期轮换，且不容易被伪造。

• JWT令牌验证
  让移动应用先通过一个授权接口获取JWT令牌，令牌的Payload里包含Bundle ID信息（比如"bundle_id": "com.awesome-app.app"）。后续所有API请求都带上这个令牌，服务端验证令牌的签名有效性，同时解析出Bundle ID和白名单对比。这种方式适合需要用户身份验证的场景，还能扩展权限控制。

• 请求签名验证
  客户端用预先约定的私钥对请求的关键参数（比如时间戳、Bundle ID、请求路径）进行签名，把签名和Bundle ID一起放到请求头里。服务端用对应的公钥验证签名的合法性，同时检查Bundle ID是否在白名单。这种方式能有效防止请求被篡改，安全性很高，但需要客户端和服务端同步密钥管理。

• 应用签名哈希验证（进阶）
  对于Android应用，可以要求客户端在请求时带上应用的签名哈希值；iOS应用可以验证App Store的签名证书。服务端预先存储合法应用的签名哈希/证书信息，请求时对比验证。这种方式能确保请求来自官方发布的应用，但实现复杂度较高，适合对安全性要求极高的场景。

额外注意事项 #

• 自定义请求头（比如X-Bundle-ID）可能会被代理或者恶意客户端篡改，所以如果是敏感接口，建议结合签名、令牌等方式做二次验证。
• 白名单建议存储在数据库或者配置中心，方便动态添加/移除应用，不用每次修改代码重启服务。

内容的提问来源于stack exchange，提问作者Jalay