Wave Frameworkを開発したとき、APIリクエストのセキュリティモデルに多くの注意を払いました。APIリクエストは、可能な限りHTTPを介して行うことができると同時に、潜在的な中間者攻撃やデータの改ざんなどから保護する必要がありました。
基本的に、入力データからGET文字列を作成し、APIプロファイルの秘密鍵でソルトしながらSHA-1ハッシュを生成することになりました。これは本当にうまく機能し、必要なだけAPIを保護します。
しかし、私のAPIでは、HTTPを介したファイルのアップロードなども可能です。現時点では、ファイルのアップロードに関連するデータを完全に無視しています（キャッシュの署名には使用していますが、データの検証には使用していません）。これは、悪意のある仲介者が転送中にファイルの内容を技術的に変更する可能性があることを意味します。
代替案はありますか？確かに、ファイルがサーバー側に送信されるときにこれを実装できますが（検証ハッシュの一部としてファイルの内容を計算するなど）、アップロードがWebブラウザーを介して行われ、JavaScriptを介して開始される場合、これはオプションではありませんか？
他のフレームワークはこれをどのように処理しましたか？検索しようとしましたが、十分な情報が見つかりませんでした。ありがとう！