从SwiftUI移动应用程序向登录API发送凭据的最安全方法是哪一种？

Question

希望你们都过得很好。我想知道，在成功登录的情况下，与PHP登录API通信最安全的方式是什么?我向PHP登录API发送凭据并获取Json令牌。此外，在应用程序运行时，我应该将JWT存储在哪里？我应该在正文或头中发送凭据吗？我应该加密吗？

我在苹果文档中提到"ATS要求HTTP连接使用HTTPS"，所以我认为使用URLSession是一个好的安全解决方案。我对SwiftUI非常陌生，并试图了解什么是将敏感数据与web通信的最安全的方法。提前谢谢你的回答

Answer 1

您应该在HTTPS上使用POST，并将凭证放入POST正文中。为了获得额外的安全性，您可以执行一个挑战响应身份验证，其中API提供一个质询字符串，客户端向其添加密码，接受SHA-256或类似的内容，并将哈希发送回API以供登录。但是通常这是不必要的，HTTPS被信任是安全的。

我会将JWT存储在浏览器本地存储中，但在这方面似乎存在不同意见。