保护 PHP 的 Web 服务

我正在 android 中开发一个小项目，它使用 php webservices 的调用。

我希望我的网络服务受到保护，但是通过使用 GET/POST 请求方法，我认为它没有受到太多保护。经过谷歌搜索后，我在“phpseclib”中找到了 RSA 实现，它也有很好的文档。但我很困惑，所以想在这里发布这个。

基本上我需要的是：

1. 在 Android 中，我将调用一个带有“加密参数合并在一个字符串中”的 url。 （我首先将参数编码为 json，然后加密）。
2. 我将在 php 中提取这些参数，并进行相应的处理。

json字符串： {user_id:[email protected], passwd: Password!}

加密为： XsjkhkjwehrkanmNXmnskjawrhjlljahdhuw

eg. http://my.domain.com/webservices/call.php?params=Xsjkhkjwehrkanm,NXmnskjawrhjlljahdhuw在 php 中，我将从 $_GET['params"'] 中提取用户 ID 和密码

这在 b 中是可能的ase64_encode(), base64_decode(), but base64编码器只会混淆字符串，实际上不会加密。

我需要公钥/私钥机制。

不过我试过这个：（https://launchkey.com/docs/api/encryption/php/phpseclib)

<?
function rsa_encrypt($key, $message) {
    $rsa = new Crypt_RSA(); 
    $rsa->loadKey($key); 
    $encrypted = base64_encode($rsa->encrypt($message)); 
    return $encrypted;
}
?>

它不返回任何 $加密字符串。

任何帮助将非常感激。

谢谢..！ :)

如果您不熟悉加密，则应该采用简单的路线并使用 HTTPS，如评论中所建议的那样。

另外，正如评论中所建议的，不要通过网页上的 GET 发送密码，因为密码显示在地址栏中，路人可以从屏幕上读取该密码。

HTTPS (SSL/TLS) 为 Web 服务器和客户端之间的整个连接提供端到端加密。这使您可以以明文形式发送所有数据，而不必担心它，因为它是在较低级别加密的。

由于它不是调用您的 Web 服务器的 Web 浏览器，因此您甚至不需要支付 SSL 证书的费用。您可以创建自签名证书。只需确保验证每个连接上的签名即可防止中间人攻击。不过，这有点棘手，所以，如果您是新手，只需支付 SSL 证书费用，然后让 Android 为您处理证书验证。

回答你的直接问题：

您可能已经发现，编码不是加密。 Base64 是编码，不提供安全性。

您不能简单地生成 RSA 公钥/私钥对，使用私钥加密数据，然后将其发送到您的服务器。您必须首先与服务器共享您的公钥。好吧，任何从网络上嗅出公钥的人都可以解密它。

您可能会让客户端生成随机对称密钥并使用服务器的公钥对其进行加密。然后，服务器将使用私钥对其进行解密，并使用共享密钥来加密数据并将其发送给您。

问题是攻击者可以简单地将所有数据重播到服务器以查看相同的输出。这些随机的东西需要由服务器生成，以确保它们实际上是随机的，因此您必须由服务器生成密钥，但如果服务器只是使用私钥进行加密，则任何拥有公钥的人都可以解密它。

因此，您需要某种方法来安全地派生共享密钥，一些复杂的数学方法来共享服务器和客户端都可以用来计算相同共享密钥的一些数据。

您可以自己执行此操作，但当您可以仅使用 SSL 时，您将调用复杂的过程和函数，SSL 可以为您做同样的事情。