有沒有一種方法來強制執行與REST服務的請求發起

Question

我有一套REST服務，我只希望我的Web應用程序使用。我不希望我的用戶能夠使用他們的憑據，並讓服務使用第三方應用程序（因爲我的數據已付費）。我有一種方法可以確保只有我的javascript可以通過瀏覽器調用服務（不能被欺騙）（例如請求標頭和用戶代理檢測不起作用）。

這可能更多是一個創造性問題。

Answer 1

我還提供了一個REST API。我使用一個總是靜態的API密鑰的混合可以被欺騙。接下來是一個簽名，它將在客戶端生成並在服務器端對每個請求進行證明。簽名是由所有參數和祕密密碼組合而成的。這可以防止中間的人例如使用另一個參數執行相同的呼叫。

唯一不好的是可以再次發送欺騙性請求。我不知道如何防止這種情況。

Answer 2

已簽名的客戶端證書和HTTPS。