Web應用程序：只與服務器授權通信

Question

對於Web應用程序，我正在尋找只允許Web應用程序與我的服務器通信的通信方式。 由於事物的URL可以從JavaScript代碼中提取，因此可以直接將URL用於登錄數據的蠻力攻擊，或者查詢特定用戶是否已經在系統中註冊，僅舉幾個例子。

我有一種感覺，加密數據客戶端和解密他們的服務器端將無法正常工作，因爲客戶端上的任何加密，無論複雜，將再次通過JavaScript代碼暴露給攻擊者。對於每個表單授權，可以發送一次性授權密鑰。但是這樣的密鑰又可以被攻擊者獲得和使用，那麼安全性有多大？

所以這裏是真正的問題：我如何才能授權我的應用程序與服務器對話並拒絕直接調用？

腳註：我有SSL，所以傳輸加密不在意。但是這對蠻力攻擊沒有幫助。

Answer 1

一個解決方案可以是端點身份驗證。您可以在TLS/SSL中使用相互認證。您也可以使用PSK變體來完成該功能。