Apiao's recent timeline updates Apiao's recent timeline updates |
ApiaoV2EX member #393495, joined on 2019-03-19 17:35:58 +08:00 |
| 关于动态鉴权 求教～ 程序员 • Apiao • May 23, 2019 • Lastly replied by danmu17 | 19 |
Apiao's recent replies
May 22, 2019 Replied to a topic by Apiao › 程序员 › 关于动态鉴权 求教～ |
@hakono 对，其实就是只要有了后面的链接谁都能访问，因为所有校验信息都包含在 url 里了，这个要再重新做鉴权该如何操作呢？让用户加新的 key 吗？
May 22, 2019 Replied to a topic by Apiao › 程序员 › 关于动态鉴权 求教～ |
@lihongjie0209 3A 具体是指？
May 22, 2019 Replied to a topic by Apiao › 程序员 › 关于动态鉴权 求教～ |
@raptor 其实收费的 url 里是有鉴权的，但这些信息都已经包含在先前返回的 url 里了，如果劫持者拿到这个 url 就可以直接访问
May 22, 2019 Replied to a topic by Apiao › 程序员 › 关于动态鉴权 求教～ |
# 抛砖引玉
目前我的一个想法是加入 IP 校验，即服务端鉴权时检验该 IP 是否为发起请求时的 IP，不是则拒绝，这个方案的优点是可以平滑升级，缺点是无法保证每次都能拿到用户的真实 IP，有误杀的风险（虽然我感觉风险挺低的。。）
问该方案是否还有其他弊端？
目前我的一个想法是加入 IP 校验，即服务端鉴权时检验该 IP 是否为发起请求时的 IP，不是则拒绝，这个方案的优点是可以平滑升级，缺点是无法保证每次都能拿到用户的真实 IP，有误杀的风险（虽然我感觉风险挺低的。。）
问该方案是否还有其他弊端？
Select Language