cordova hot-code-push plugin security

Question

Я рассматриваю плагин cordova cordova-hot-code-push. Я хочу разместить свои собственные релизы на моем собственном сервере. Есть ли способ использовать некоторую безопасность для обеспечения того, чтобы не только кто-то мог загружать файлы из размещенного места и все еще работать вместе с плагином?

Answer 1

Вы можете использовать заголовки аутентификации при ручном вызове метода fetchUpdate().

var options = { 
    'config-file': 'https://example.com/chcp.json', 
    'request-headers': { 
    'Authorization': 'Basic ' + (new Buffer("username:password").toString('base64')) 
    } 
}; 
chcp.fetchUpdate(updateCallback, options); 

function updateCallback(error, data) { 
    // do some work 
} 

Не самый безопасный метод, поскольку все, кто проверяет код приложения, смогут загрузить ваш код.

Но то, что лично меня больше беспокоит, - это способность кого-то «подделывать обновление» вашего приложения, как «Человек в середине», что позволяет полностью захватить ваше приложение.

!! -> Так определенно используйте HTTPS.

Который также не может полностью остановить MITM.

Ссылка читайте здесь:

https://github.com/nordnet/cordova-hot-code-push/wiki/Fetch-update

https://en.wikipedia.org/wiki/Basic_access_authentication