一种非登录方式来验证某一设备，MAC地址作为密码？

Question

我已经创建了一个REST，现在我正在考虑身份验证。我希望移动应用程序的流程对于用户来说非常简单:只需输入一个用户名，然后这个用户名连同‘一些密码’将用于在每个api调用中验证用户(使用头部字段，通过SSL)。

这是一种对用户尽可能少麻烦地对用户进行身份验证的好方法吗？我相信whatsapp使用了类似的方法，使用设备的MAC地址作为密码，并让用户输入他的电话号码作为用户名。我也曾经读过一些关于这种方法的批评，但是如果这是如此糟糕，有什么更好的方法去做呢？

因此，基本上，我要寻找的是一种使用尽可能少的用户输入(只有一个用户名)进行身份验证的方法，每个设备最多有一个帐户，但对于调用我的api，它仍然是安全的。如果是这样的话，是否会有这样的做法呢？

Answer 1

MAC地址不适用于此，原因如下：

1. 用户在软件中可以自由地改变MAC地址，如果更换网络硬件，MAC地址就会发生变化。
2. 无线设备向周围的每个人广播它的地址，所以这几乎不是什么秘密。
3. MAC地址应该是唯一的，但实际上并非如此。
4. 具有多个网络接口(例如，无线网卡和以太网插孔)的设备将具有多个MAC地址。

像提到的那样，我会研究一些类似客户端证书的东西，或者在客户端上存储一个唯一的令牌，作为帐户创建过程的一部分。