客戶端和RESTful服務之間的安全

Question

我有一個建築問題，我需要一些建議。

我目前有一個客戶寫在Ionic2與計劃部署到iOS,Android和Web Browser。

我有一個在AWS上運行的Tomcat服務器，Java8/Spring RESTful Web Services與MYSQL數據庫交談。

我也在使用Firebase Authentication。用戶可以在未登錄的情況下訪問該應用程序，並且一旦登錄即可訪問更多功能。

因此，用戶數據存儲在Firebase中，其中uid作爲關鍵字。相應的用戶數據也存儲在MYSQL數據庫中。

我打算還增加一個PayPal支付網關。

問題

我不是在安全架構方面的專家。所以我的問題是，我應該有什麼安全考慮？

我認爲支付網關將是安全的，因爲我將與PayPal api進行交互。

其次，目前Ionic2應用程序通過HTTP與Java RESTful Services通信。我應該保護這些請求/響應呼叫嗎？

關於RESTful Service調用，我只在一次調用中傳輸敏感信息，所以想保證這一點。否則，沒有敏感信息，但我不希望應用程序受到任何惡意行爲。如您所見，這是一個相當開放的問題，但我正在尋找正確的架構路徑的指導。

任何意見表示讚賞。

Answer 1

關於安全性考慮事項，OWASP（Open Web Application Security Project）爲REST服務here提供了非常好的方向。它可能看起來壓倒性地首次查看它，但是取決於API中信息的敏感性以及如果有人利用API中的漏洞產生影響，這取決於你實現它們的程度。

但是，我建議使用HTTPS而不是HTTP來處理所有的API。

Answer 2

如果是基於Spring的應用程序，那麼我建議去Spring JWT（Json Web Token）。