用过七牛的来说说你们的安全策略吧

[loveltyoic]

先说下我的使用场景：

上传方式是七牛直传：用户在APP端用七牛的SDK直接传图片到七牛服务器，然后七牛回调我服务器上的接口。

客户端上传首先需要一个token，这个token当然是由自己的服务器颁发，那么就涉及到一个安全问题，如何限制恶意用户窃取token并上传垃圾文件？（七牛是可以限制上传文件类型和大小的，这个问题就可以不考虑了。）

我的想法是从两方面来解决这个问题：

限制token获取

因为token本身也是通过API来获取的，那么如何区分恶意用户和正常请求呢？这其实是一个普遍的问题，就是如何保护API。我觉得这里存在一个矛盾：API本身是开放的，但是我们需要限制一些API的使用，如何做到？欢迎分享下这方面的经验。

回到这个问题。如果上传限制为登录用户才能使用的话，可以在token获取阶段附上用户id，然后硬性限制每个id每天获取token的次数，比如50次。但是问题又出现了，如果恶意用户把参数篡改成其他的用户id，限制就失去意义了。为了防止篡改请求，第一个想到的就是对请求进行签名。严格来说，我这里使用的方法其实并不是公钥体系中的签名，而是一个简化方法。首先服务器和客户端需要共享一个秘密字符串secret，这需要在客户端hardcode。

计算方法就是md5(uid=xxx分隔符secret)，由于md5是单向的（md5其实也不安全了，不过我们的安全性要求也没那么高，换成sha256也可以），攻击者拿到这个摘要字符串也无法逆向出secret。服务端在收到请求后做同样的计算来验证有效性。但这个方法的前提是攻击者无法获取到secret。可是如果客户端被逆向工程破解了呢？由于secret是hardcode在客户端的，如果攻击者看到客户端源码，secret就暴露了。
对这方面还不了解，欢迎科普。

另外token是有时效的，默认为1小时。那么在这个有效期内，这个token就可以无限制上传了，所以有效期也不能这么久。

限制token使用

通过有效期来限制，感觉并不是完美的解决方法，到底设置多久也是个问题，太短的话可能影响到正常操作，太长的话又失去了意义。

限制token使用的话最好能做到一次性，用完即失效。
目前知道的方式是在生成token的时候通过scope来指定文件的key，另外设置insertOnly为1，也就是服务端硬性规定好保存的文件名，重名的话上传是无效的。
这样一个token就只能上传一个文件。

以上就是我能想到的方法了，希望大家踊跃分享自己的使用经验！

[loveltyoic]

有木有人来说说你们的经验呐！

[eriale]

只要用户是登陆用户就可以了吧，服务端可以判断当前请求的用户，然后计算这个用户请求的次数。
而且上传文件名是服务端给的，所以用户如果在token失效期内频繁上传，也只是覆盖自己以前上传的文件。

[loveltyoic]

@eriale 这是给我总结了一下哈。希望听听不同的解决思路。
另外其实我不想由我的服务端来定文件名。
因为七牛会对文件内容生成一个etag，也就是说对同一文件，etag是相同的。
如果不指定文件名的话，就会用etag做文件名。
利用这个特性，用户上传相同的文件就直接可以由七牛来过滤掉了。

[tabris17]

先作为临时文件，上传到自己的服务器，然后推送给七牛后删除临时文件

[gamexg]

想用 etag 作为key，你可以试试回调功能。

http://developer.qiniu.com/docs/v6/api/overview/up/response/callback.html