您如何安全地识别通过中介平台联系我们的API的用户？

Question

我们的用户通过外部在线平台创建订单。这个在线平台向我们的API发送用户创建的任何订单。在线平台说，我们如何安全地确保这些订单是由用户创建的？

我们正在调查通过电子邮件/短信收到的每个订单发送身份验证质询。然而，对于整天创建订单的操作员来说，这可能会变得令人厌倦。理想的模式是什么？

Answer 1

安全性，包括不可否认性，是一个在安全性和便利性之间取得平衡的问题。系统越安全，它就越不方便，反之亦然。

一个足够安全的系统可能会非常不方便，以至于吓跑了用户。因此，安全分析和威胁建模应该涉及技术和业务利益相关者。如果你的公司因为缺乏客户而倒闭，那么建立一个没有人想要使用的最大安全系统并不能解决任何问题。

关于通过电子邮件或短信进行订单验证的OP问题就是这个难题的一个很好的例子。

具体来说，关于订单验证，您可以考虑“批处理”功能，其中超级用户可以创建批量的订单，他们只需通过一条短信或电子邮件进行验证。

这种想法的缺点是存在用户误解该功能如何工作的风险。如果用户不清楚他们必须在工作日结束时提交批次，他们可能会认为他们提交了许多订单，而实际上，他们没有提交任何订单。

这给我的印象主要是UX问题，而不是技术问题。

另一种选择是要求每个用户使用PKI签署他们的订单。用户应该使用他们的私钥签名，但这再次成为可用性和基础设施的挑战。

与所有利益相关者合作，找到一个可接受的解决方案，解决正确的问题。