兩個GAE應用程序之間的穩定身份驗證

Question

我正在嘗試編寫一個RESTful Google應用程序引擎應用程序（Python），該應用程序只接受來自我編寫的另一個GAE的請求。我不喜歡任何的，我認爲能完成這一操作方式，請告知如果你知道的東西比：

• 獲取SSL設置，只需添加上，我的消費應用程序將發送請求的憑據。我不喜歡它，因爲SSL會減慢速度。

• 安全性低。在我的請求中添加一個隨機數字，該數字位於Xmod0中，其中X是兩個應用程序都知道的祕密數字。我只是不喜歡這個。

• 檢查HTTP標頭以查看來自哪裏的請求。對於我的應用程序的數據，這個選項是我最不討厭的東西，不是很多的處理，欺騙HTTP請求並不值得。

是否有任何其他乾淨的解決方案呢？

Answer 1

使用HMAC。在每個應用中嵌入相同的祕密，並使用HMAC對請求和響應進行簽名。不要忘記包含隨機數和時間戳以防止重放攻擊！