大家好
目前我們的專案會需要提供api給android開發者，想問一下一些安全的設計:
目前專案會提供 JSON 或 XML 格式給開發者，
但我一直有一個想不通的問題，
就是這樣 Hacker 如果知道這個api用法，那不就能無限次的try嗎?
簡單說，在web開發時，在進去一些頁面時，可以使用session來避免掉無權限登入的問題
但在android call web api的設計下，大家是如何做安全性設計的呢?
目前想到的是: user登入後，由server給一組token，
每次存取某權限才能存取的api時，都要先確認token正確性
但是想到還要管理token，就越想越複雜
不知道大家是怎麼實做的呢?
PS. 後端開發是使用 ASP.NET MVC， SERVER是使用Azure