Hallo,
habe eine Frage bezüglich meiner Java Restapi: Wie kann ich diese so absichern, dass nur Nutzer der Webanwendung die Daten erhalten?
Hintergrund:
Eine Webanwendung in PHP schickt (dann per JavaScript) einen Request an die Restapi. Diese liefert dann Daten zurück, die von der Webanwendung verarbeitet und entsprechend angezeigt werden. Die Sache ist aber, dass die Restapi aktuell öffentlich ist und jeder Daten auslesen könnte (nein sie ist noch nicht online^^). So könnte man bspw. mit einem request userIds bekommen (diese sind bspw. für die Kommentarsektion gedacht, damit man sieht, welcher Nutzer welchen Kommentar geschrieben hat).
Welche Möglichkeiten habe ich, das ganze abzusichern und dennoch performant zu halten?
Habe mich schon mit dem Thema OAuth beschäftigt....das ist aber glaube ich nicht ganz das Richtige für mich. Bei facebook (auch wenn das natürlich ein anderes Szenario ist) werden clientIds und sessionIds genutzt.
Es muss jetzt auch kein Schutzbunker aufgebaut werden; es soll aber schon sicher sein (von einem Wort, dass verschlüsselt mitgegeben wird und damit Nutzer von außen fern zu halten, halte ich nichts
)
Gruß Fabian
habe eine Frage bezüglich meiner Java Restapi: Wie kann ich diese so absichern, dass nur Nutzer der Webanwendung die Daten erhalten?
Hintergrund:
Eine Webanwendung in PHP schickt (dann per JavaScript) einen Request an die Restapi. Diese liefert dann Daten zurück, die von der Webanwendung verarbeitet und entsprechend angezeigt werden. Die Sache ist aber, dass die Restapi aktuell öffentlich ist und jeder Daten auslesen könnte (nein sie ist noch nicht online^^). So könnte man bspw. mit einem request userIds bekommen (diese sind bspw. für die Kommentarsektion gedacht, damit man sieht, welcher Nutzer welchen Kommentar geschrieben hat).
Welche Möglichkeiten habe ich, das ganze abzusichern und dennoch performant zu halten?
Habe mich schon mit dem Thema OAuth beschäftigt....das ist aber glaube ich nicht ganz das Richtige für mich. Bei facebook (auch wenn das natürlich ein anderes Szenario ist) werden clientIds und sessionIds genutzt.
Es muss jetzt auch kein Schutzbunker aufgebaut werden; es soll aber schon sicher sein (von einem Wort, dass verschlüsselt mitgegeben wird und damit Nutzer von außen fern zu halten, halte ich nichts
)Gruß Fabian
