开发者社区 > 云存储 > 对象存储OSS > 正文

oss 移动端STS账户直传 回调URl安全设置问题

已经实现了生成移动端STS账户并限制了权限,不过回调URL是由客户端自行设置。如何保证客户端设置的回调URl可靠性。 我看见文档页说回调url会被签名不能通过网络包修改,但客户端本身可以被人恶意模拟(别人只要拿到STS临时账户就能直接用自己的客户端模拟上传)这时如何保证回调URl被正确设置呢。

展开
收起
游客ro6z2v3wrwbgu 2023-04-13 13:41:42 372 0
4 条回答
写回答
取消 提交回答
  • 公众号:网络技术联盟站,InfoQ签约作者,阿里云社区签约作者,华为云 云享专家,BOSS直聘 创作王者,腾讯课堂创作领航员,博客+论坛:https://www.wljslmz.cn,工程师导航:https://www.wljslmz.com

    在阿里云OSS移动端使用STS账户进行直传时回调URL的设置问题,主要考虑安全性和防止被恶意攻击。以下是安全设置建议:

    1. 使用HTTPS协议:在回调URL中使用HTTPS协议,确保回调传输数据的安全性。

    2. 对回调URL进行验证:在STS授权期限内,只接受指定的回调URL,其他的回调请求将被拒绝,避免恶意攻击。

    3. 对回调参数进行验证:验证回调URL返回的参数是否合法,防止被恶意篡改。

    4. 使用签名验证:在进行STS授权时,可以使用阿里云Access Key和Secret Key进行签名认证,并将签名信息添加到STS授权中,确保回调信息的安全性。

    5. 避免直接将回调URL暴露在客户端:可以在服务端设置一个临时回调URL,并在授权时将临时回调URL作为回调参数传递给客户端,在客户端上传文件时,将临时回调URL传递给服务端,由服务端进行回调验证和处理。

    以上建议仅供参考,具体安全设置需要根据实际情况进行,确保回调URL的安全性和防止被恶意攻击。

    2023-04-30 08:04:46
    赞同 展开评论 打赏
  • 值得去的地方都没有捷径

    为了保证回调URL的可靠性,可以采取以下措施:

    对回调URL进行签名:在生成STS账户时,可以对回调URL进行签名,将签名信息添加到STS账户中。在回调URL被触发时,服务器会对回调URL进行验证,验证签名信息是否正确。这样可以防止回调URL被篡改或伪造。
    
    对客户端进行身份验证:在客户端进行上传操作前,可以对客户端进行身份验证,确保上传请求来自于合法的客户端。可以使用OAuth等身份验证机制,或者使用其他的安全机制进行验证。
    
    对回调URL进行白名单限制:在服务器端可以对回调URL进行白名单限制,只允许特定的URL触发回调。这样可以防止回调URL被恶意修改或伪造。
    
    使用HTTPS协议:使用HTTPS协议可以保证上传请求和回调请求的安全性,防止中间人攻击和数据泄露。
    

    综上所述,为了确保回调URL的可靠性,需要对回调URL进行签名、对客户端进行身份验证、对回调URL进行白名单限制,并使用HTTPS协议进行保护。

    2023-04-15 11:33:44
    赞同 展开评论 打赏
  • 从事java行业9年至今,热爱技术,热爱以博文记录日常工作,csdn博主,座右铭是:让技术不再枯燥,让每一位技术人爱上技术

    关于这个问题,阿里云OSS官方文档中通过STS服务生成签名URL时,需要填写STS服务获取的临时访问凭证。临时访问凭证包括临时访问密钥(AccessKey ID和AccessKey Secret)以及安全令牌(SecurityToken)。关于如何获取临时访问凭证的具体操作,请参见 使用STS临时访问凭证访问OSS

    2023-04-13 14:13:28
    赞同 展开评论 打赏
  • 坚持这件事孤独又漫长。

    可以采取以下措施:

    • 在生成STS临时账户时,记录下授权的移动端设备的唯一标识(如设备ID),并在回调请求中携带该标识,服务端对回调请求进行鉴权,只有该标识对应的移动端设备才会被允许回调。

    • 在回调请求中添加参数进行签名,以防止网络传输中被篡改。签名的算法可以使用常见的HMAC-SHA1等,服务端需要对签名进行校验。

    • 限制回调URL的访问权限,只允许指定的IP地址或域名进行访问。

    • 可以要求客户端在回调请求中携带一些必要的信息,如STS临时账户的一些关键信息,以及客户端自身的一些信息,如App版本号等,这些信息可以帮助服务端更好地识别回调请求的来源。

    2023-04-13 13:58:49
    赞同 展开评论 打赏

相关产品

  • 对象存储
  • 热门讨论

    热门文章

    相关电子书

    更多
    OSS运维进阶实战手册 立即下载
    《OSS运维基础实战手册》 立即下载
    OSS运维基础实战手册 立即下载