java - 验证来自签名 jar 的 http 请求

Question

我正在为我的 web 应用程序编写客户端，并且我用我的开发人员证书签署了发布 jar，我如何验证休息服务的请求来自我签署的 jar？

Answer 1

你不能。签名用于执行验证，这意味着它在服务器端。但是您想在客户端检查 http/rest 请求的签名。客户端没有这样的验证。

您可以向响应本身添加一些内容并在客户端对其进行验证，但同样，没有什么能阻止任何其他服务器发送相同的值并假装自己是您的服务器。

您还可以向 jar 中添加一些行为特征（如会话 cookie），但同样，没有什么能阻止其他 jar 也模仿它。