android - 安全 API 访问：为 Android 客户端保护只读 rails api 的最佳策略

Question

我已经使用 ruby​​ on rails 开发了一个只读 api，还为此 api 开发了一个 android 客户端。

我想要的是限制对这个只读 api 的访问。

我可以为我的 api 使用的最佳解决方案是什么，

1. 使用 HTTP 基本身份验证

2. 通过访问令牌进行身份验证

3. OAuth 等

我需要ssl证书吗？

我的 rails API 托管在 heroku 上。我应该使用 app.herokuapp.com 子域 ssl 还是使用我的自定义域并为我的自定义域购买 ssl 证书。

如果我确实需要 ssl 证书，请建议最好和最便宜的 ssl 证书提供商。

提前致谢！

Answer 1

API 最安全的方法是为每个用户提供不同的 API 身份验证令牌。另一方面，如果你想让它更安全，我个人建议你使用 SSL，因为 SSL 对服务器和客户端之间的包进行加密，因此这是不可能的（不是不可能，但几乎不可能，取决于你的 SSL 证书）劫持服务器和客户端之间的通信。