1

Boa noite!

Apenas tirar uma dúvida.

Estou desenvolvendo uma aplicação android e vai receber informações em json, mas ao fazer login, seria mais ou menos assim

http://exemplo.com/auth/login/senha

caso a verificação for correto receberá um token para ter acesso aos demais informações. Será trabalhado tudo com token.

http://exemplo.com/token/meu_perfil

Ou seja com token recebido terá permissão para ver a informação do perfil.

Isso é seguro? Ou ainda precisa ser melhorado?

Obs: não gosto usar Framework para evitar a compatibilidade, utilizo a linguagem PHP.

1 Resposta 1

0

Seu approach esta OK, mas pode ser melhorado adicionando mais "segurança":

  • Utilizar Basic Auth na url de login, ou seja, enviar usuario e senha no formato "usuario:senha" codificado em Base64 no header da requisição. Exemplo:

    Authenticator.setDefault(new Authenticator(){
    protected PasswordAuthentication getPasswordAuthentication() {
        return new PasswordAuthentication("myuser","mypass".toCharArray());
    }});
    HttpURLConnection c = (HttpURLConnection) new URL(url).openConnection();
    c.setUseCaches(false);
    c.connect();
    

ou você pode simplesmente adicionar uma request property a conexāo:

c.setRequestProperty("Authorization", "basic " +
                Base64.encode("myuser:mypass".getBytes(), Base64.NO_WRAP));
  • Para as demais URL's, enviar o token no header das requisições e sempre se certifique que o token esteja criptografado e nāo somente codificado em Base64 o que possibilita a qualquer pessoa reutilizar um token mesmo que esteja expirado. Você pode utilizar o header "Authorization" para tanto.

Enfim, evite enviar qualquer informaçāo sensível sem estar criptografada e muito menos no path da URL.

2
  • Essa sintaxe é linguagem Java? Pode me falar um exemplo em javascript? O que eu entendi vc quis dizer enviar as informações no header do http com dados criptografado? Correto? 11/08/2017 às 17:26
  • Sim, o exemplo é java e Android. Em JavaScript é igual, voce vai fazer uma chamada Ajax passando os Headers criptografados. 14/08/2017 às 10:26

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .