Как максимально усложнить нежелательные вызовы REST API?

Question

[Дмитрий Лабутин]

Представим, что есть сервис.
Веб морда очень простая - ввод параметров (2-3 параметра) и кнопка submit. Идет AJAX запрос на сервер и в ответ JSON с результатами расчетов.
Веб морда ценности не представляет. Самое интересное - это способ расчетов на сервере.
При таком подходе легко написать клон морды и дергать готовый чужой REST API и выдавать сервис за свой.
Собственно вопрос - как усложнить жизнь вот таким плагиаторам?

Comments

[varz62]

так сделайте с авторизацией
вариантов даже готовых много

Answer 1

[Николай Марков]

Ну очевидно же что любыми способами, которыми защищаются от ботов, т.е. капчей например

Answer 2

[Nikolai]

Капча на API не поможет не очень помогут. Токены вам в помощь, посмотрите Json Web Tokens.

Answer 3

[lam0x86]

Почему бы не проверять HTTP referer?

Comments

[Дмитрий Лабутин]

Легко подделывается

[lam0x86]

Я на самом деле давно не занимался веб-разработкой. Для ликбеза, не подскажете способы? Если я правильно понял автора вопроса, сервисом пользуются обычные люди с обычными браузерами без всяких плагинов для спуффинга.

Answer 4

[Руслан Квашнин]

Есть золотое правило системного администрирования:
"Запрещено все то, что не разрешено".
Думаю намек понят.

Answer 5

[Вадим Шандринов]

На морду отдавать сгенеренную куку и некий сгенеренный параметр. Требовать от морды возврата и куки и параметра формы. А у себя хранить параметр, отданный на эту форму для этой куки и проверять что пришло с формы. Параметр и кука - абсолютно не связанные хэши. Ктт.

Answer 6

[aleksey_k]

То, о чем вы пишете, очень похоже на CSRF. Есть несколько методов защиты от этого, в интернете есть примеры. Самый простой - проверка Referrer, чуть сложнее - генерировать CSRF-токен, который будет передаваться вместе с формой, и который будет знать сервер. Если форма фейлится при проверке этого токена - значит кто-то обманывает.
Если же используете AJAX - там нужно будет использовать одноразовый токен, который будет обновляться при ответе с сервера.