比如知道一个小程序后台的REST API, 然后自己制作一个小程序用相同的API访问,实现攻击(比如伪造中奖),这种情况有没有现实可能性?
后台如何验证访问来自合法的小程序?虽然小程序有网络白名单,但白名单似乎并不需要后台验证。
网友回复
张泓冰:
请求域名很容易拿到吧,至于加密算法,一般是没有的,因为问题的核心是鉴别身份而不是伪造数据,总之目前这样岂不是很不安全?
热心市民:
只要他们能拿到你的请求域名以及加密算法,完全是有可能的
比如知道一个小程序后台的REST API, 然后自己制作一个小程序用相同的API访问,实现攻击(比如伪造中奖),这种情况有没有现实可能性?
后台如何验证访问来自合法的小程序?虽然小程序有网络白名单,但白名单似乎并不需要后台验证。
请求域名很容易拿到吧,至于加密算法,一般是没有的,因为问题的核心是鉴别身份而不是伪造数据,总之目前这样岂不是很不安全?
只要他们能拿到你的请求域名以及加密算法,完全是有可能的