Android，有沒有任何協議可以繞過開發者接收和發送用戶名和密碼？

Question

我有一個問題，它不是真的與android有關。但因爲我是android開發者，所以我把這篇文章當作android發佈。

在我的應用程序中，我有一個登錄頁面。在此頁面中，我從用戶獲取用戶名和密碼，然後加密密碼，之後我將它們發送到服務器進行驗證。根據服務器的迴應，我會做我應該做的事情。

我認爲這個過程是有風險的。如果有人剽竊我的代碼，他可以輕易做出欺騙行爲。也因爲這個項目是基於股票市場的項目，因此需要更高的安全性。我擔心如果有人破解這些代碼，我作爲開發人員或我的公司負責解決此問題。

現在，我想要的是，登錄頁面應該在我的客戶端的服務器的控制下。這是我的主意： 1-我將打開一個連接（URL應由客戶給我） 2-我將打開另一個連接來收聽來自服務器的反饋 3-如果服務器說OK，我讓用戶進入應用程序。

這是一個好方法嗎？有沒有其他方法？

Answer 1

如果有人盜用您的代碼，通常所有投注都關閉。如果你想真正保護某些東西，你需要將它放在服務器端。

至於沒有發送用戶名/密碼，您可以通過使用標準協議（如SAMLv2，OpenID或OAuth）使客戶端的服務器充當身份提供者。您必須選擇哪一個適合您的需求，但總體思路是用戶將登錄並授權您的應用使用您客戶端的服務器查看他們的數據，而您的應用永遠不需要查看他們的實際密碼。