是獲得在查詢字符串的API密鑰安全嗎？

我提出的API，並希望其他用戶能夠訪問它。我的實現是得到查詢字符串的API密鑰和API「密碼」，並用它們來識別，如果用戶是我們網站的有效用戶。是獲得在查詢字符串的API密鑰安全嗎？

domain.com/api/?api_key=theapikey & api_password = thepasswordhere

我不熟悉的安全，但這是做一個安全的方式？還是有更安全的方法來做到這一點？

2010-12-20 arvinsim

a）你應該使用POST而不是GET，而GET是目前你所描述的方法（當數據在地址欄中您從您的Web應用程序的形式，即選擇POST方法得到POST值：

<FORM action="http://domain.com/api" method="post">

b）將是較爲安全的，但更多的安全性是通過使用HTTPS隧道感知的，你得到通過安裝有效的安全密鑰在找你的Web服務器，並使用HTTPS，而不是http。

希望我幫助了:)

2010-12-20 07:59:22

好，我們沒有使用POST，因爲我們想要的API是從URL訪問。這就是爲什麼我們被迫使用get。 – arvinsim 2010-12-20 08:25:05

我可以建議，然後用某種例如MD5加密一個加密密鑰和/或密碼，然後它匹配對你的加密密碼的列表？除此之外，沒有其他想法突然出現在我的腦海裏。 – 2010-12-20 09:14:15

它並不安全，不，有更安全的方法是，看看OAuth。你可能會找到你選擇的語言的一些助手庫。

2010-12-20 07:54:15

回答