验证来自已签名 jar 的 http 请求

Question

我正在为我的 web 应用程序编写客户端，并且我使用我的开发者证书签署了发布 jar，我如何验证对休息服务的请求来自我签署的 jar？

Answer 1

你不能。签名用于执行验证，这意味着它在服务器端。但是您想在客户端检查 http/rest 请求的签名。客户端没有这样的验证。

您可以向响应本身添加一些内容并在客户端对其进行验证，但是同样，没有什么可以阻止任何其他服务器发送相同的值并假装是您的服务器。

您还可以向您的 jar 添加一些行为特征（如会话 cookie），但是同样，没有什么能阻止其他 jar 也效仿它。