Apiao 最近的时间轴更新 Apiao 最近的时间轴更新 |
ApiaoV2EX 第 393495 号会员，加入于 2019-03-19 17:35:58 +08:00 |
| 关于动态鉴权 求教～ 程序员 • Apiao • 2019-05-23 01:44:48 AM • 最后回复来自 danmu17 | 19 |
Apiao 最近回复了
2019-05-22 15:08:50 +08:00 回复了 Apiao 创建的主题 › 程序员 › 关于动态鉴权 求教～ |
@hakono 对，其实就是只要有了后面的链接谁都能访问，因为所有校验信息都包含在 url 里了，这个要再重新做鉴权该如何操作呢？让用户加新的 key 吗？
2019-05-22 15:07:03 +08:00 回复了 Apiao 创建的主题 › 程序员 › 关于动态鉴权 求教～ |
@lihongjie0209 3A 具体是指？
2019-05-22 15:01:41 +08:00 回复了 Apiao 创建的主题 › 程序员 › 关于动态鉴权 求教～ |
@raptor 其实收费的 url 里是有鉴权的，但这些信息都已经包含在先前返回的 url 里了，如果劫持者拿到这个 url 就可以直接访问
2019-05-22 14:47:31 +08:00 回复了 Apiao 创建的主题 › 程序员 › 关于动态鉴权 求教～ |
# 抛砖引玉
目前我的一个想法是加入 IP 校验，即服务端鉴权时检验该 IP 是否为发起请求时的 IP，不是则拒绝，这个方案的优点是可以平滑升级，缺点是无法保证每次都能拿到用户的真实 IP，有误杀的风险（虽然我感觉风险挺低的。。）
问该方案是否还有其他弊端？
目前我的一个想法是加入 IP 校验，即服务端鉴权时检验该 IP 是否为发起请求时的 IP，不是则拒绝，这个方案的优点是可以平滑升级，缺点是无法保证每次都能拿到用户的真实 IP，有误杀的风险（虽然我感觉风险挺低的。。）
问该方案是否还有其他弊端？
Select Language