So sichern Sie API-Endpunkte ohne Benutzerauthentifizierung

Question

Ich erstelle ein SPA mit angular2 & Lumen 5.4. Sagen wir einfach, es gibt zwei Routen. Eine GET Route, die JSON-Daten zur Anzeige zurückgibt, und eine POST Route zum Hochladen von Dateien in die Datenbank. Es ist eine Inhouse-App, die kein Login hat (das liegt nicht in meinen Händen).

Wie kann ich die Endpunkte ordnungsgemäß sichern? Für das Upload-Formular POST könnte ich ein verstecktes Token hinzufügen, aber das ist überhaupt nicht sicher. Alle Authentifizierung Tutorials für Lumen beinhalten Benutzeranmeldung, die für mich keine Option ist.

Alle Beispiele oder Tutorials wären wirklich da ich immer die Benutzerauthentifizierung in der Vergangenheit

Answer 1

Sie könnten Sicherheit verwenden, basierend auf IP-Adresse oder so etwas, aber es ist das erste Mal, dass ich so etwas wie Ihre Frage gebraucht helfen , an jedem Punkt Ihrer App, wenn Sie Sicherheit wollen, benötigen Sie Anmeldeinformationen, natürlich können Sie immer andere Arten von auths machen, wie geben Sie die Telefonnummer oder die E-Mail und ich schicke Ihnen ein Token, die Sie in einem einzuführen weitere Form, sonst weiß ich nicht, was ich sonst in einer solchen Situation tun soll.

Answer 2

können Sie einfach verwenden middleware und MySQL, z.B .:

<?php 
namespace App\Http\Middleware; 

use App\ApiKey; 
use Closure; 

class ApiMiddleware 
{ 
    /** 
    * Handle an incoming request. 
    * 
    * @param \Illuminate\Http\Request $request 
    * @param \Closure $next 
    * @return mixed 
    */ 
    public function handle($request, Closure $next) 
    { 
     $tokenValid = ApiKey::where('api_key', $request->header('Authorization'))->exists(); 

     if (!$tokenValid) { 
      return response()->json('Unauthorized', 401); 
     } 

     return $next($request); 
    } 
} 

API_KEY könnte einige zufällige Zeichenfolge sein, nur str_random(64); verwenden und es zu Datenbank speichern. Dann sollten Sie dieses Token bei jeder Anfrage als Authorization Header anhängen. Einfach und sicher.

Zumindest aber nicht zuletzt, vergessen Sie nicht danach register es danach.