安全Rest-用户认证前的服务

Question

我有一个web应用程序，它提供多个rest服务(泽西岛)。大多数端点都是通过基本身份验证来保护的。此外，我还使用SSL进行传输，并在每次呼叫中要求发布。客户/消费者是android应用程序。

到目前一切尚好。似乎唯一易受攻击的服务是注册。这是第一个调用的服务，用户还不存在。因此，我不能使用OAuth，等等。我还必须保持端点易于访问，以使用户能够使用regster。

如何保护此服务，使其不被机器人淹没我的数据库？

Answer 1

这些怎么样？

1. 在请求参数中使用带有令牌的注册链接。确保令牌在某个时候过期。您还可以为客户端创建一个令牌端点url以获得有效的令牌。
2. 在请求中使用自定义标头或动态自定义标头。此外，您还可以检查动态自定义标头以验证请求的真实性。
3. 使用注册确认工作流，例如，注册完成后立即进行电子邮件/文本验证。每天运行一个进程来删除任何用户帐户，这些帐户在例如x天内没有被验证。

我不认为您能够真正以HTTP方式保护注册URL。IMHO，任何拥有注册网址的人都可以是一个想注册的人。所以如果你问我，选项3比其他人要好。