使用代理

Question

我有經過安全認證密鑰的Web服務的Web應用程序時，避免人在這方面的中間人攻擊。爲了避免Man In The Middle攻擊，每次請求的IP地址都會根據初始身份驗證請求中的IP地址進行檢查。但是，從使用代理服務器的計算機訪問時，IP地址不一定相同。我能做些什麼來避免這個問題？

Answer 1

IP地址很容易被欺騙，所以這是不是一個非常有用的後衛。

當試圖實現協議級安全總是用別人的很好的測試和思索設計（最好實現）在你自己的，除非理由不這樣做是引人注目。

http://en.wikipedia.org/wiki/WS-Security存在並簡單地使整個鏈使用https應足以滿足您的需求（只要安全開銷不成問題）。

Answer 2

我想最簡單的方法是使用SSL。

如果您不能使用SSL你可以使用XMLSigniture這將至少讓你檢測，如果消息已被改變。這裏有一篇關於在Java中使用它的好文章：

http://java.sun.com/developer/technicalArticles/xml/dig_signature_api/