あなたのアプリとあなたのウェブサイトの間のコミュニケーションの最良の方法？PHP、Webサービスなど

自分のウェブサイトと通信したいアプリケーションを作成しています。アプリは、ウェブサイトのデータベースから特定のアプリユーザーのデータを取得する必要があります。これを行うための最良の方法は不明です。

たとえば、これを行う1つの方法は、アプリにログインページを作成し、それが私のウェブサイトのlogin.phpロジックにヒットすることです。1つのコードベースを使用して、Webサイトとアプリの両方のサインインを処理できるため、これは便利です。

私が見た別のソリューションは、JSONリクエストを使用してアプリとWebサイト間の通信を処理することです。JSONオブジェクトは作成と解析が簡単なので、これは便利です。

私は基本的に、このコミュニケーションを実現するための最良の/一般的な方法、お互いを重ねることの長所と短所、および考慮すべきその他のセキュリティ問題を知りたいです。

たとえば、一方の方法をもう一方の方法で使用する場合、機密のユーザーデータを公開するリスクはありますか？もしそうなら、これをどのように防ぐことができますか？暗号化とユーザー検証は、どこでどのように機能しますか？

アプリケーションとWebサイトにREST APIを構築することをお勧めします。

Webサービスの作成はより手間がかかりますが、かなりクリーンだと思います。このようにすると、データベースに接続してクエリする方法をWebサイトやアプリケーションで心配する必要はありません。これらの詳細はすべてAPIによって抽象化されるためです。また、もう1つの利点はセキュリティです。Webサイトがハッキングされた場合、WebサイトはAPI呼び出しのみを実行しているため（データベース呼び出しではないため）、データベースにアクセスできるとは限りません。もちろん、考慮すべき多くの点があります。セキュリティ、しかしそれはあなたが心配しなければならないもう一つの事です。

PHPでREST APIを作成する方法に関する優れたスターターガイドを次に示します。

http://www.gen-x-design.com/archives/create-a-rest-api-with-php/

要件の複雑さに応じて、REST / JSONまたはSOAP Webサービスのいずれか。

単純な要件の場合、特にXMLよりもJSONを優先する場合、RESTは理解と実装が簡単です。

ただし、要件に認証、メッセージ検証、発見、否認防止、または複雑なメッセージスキーマが含まれている場合は、ほぼすべての問題がカバーされているため、SOAPの複雑さを詳しく調べる方がよい場合があります。SOAPはより複雑で理解が困難ですが、メッセージングシステムで発生する可能性のあるほぼすべてのアーキテクチャの順列とバリエーションを処理します。さらに、APIの迷路を乗り越えるのに役立つ非常に成熟した包括的なツールセットを備えています。ただし、このレベルの高度化が必要ない場合は、RESTを使用してください。

APIの最大の欠点は、JSONリクエストを作成し、回答を変換し、それらをページに表示する責任をブラウザーに負わせることです。本質的に、またはユーザーがjava-scriptをオフにしているため、すべてのブラウザーがこれに対応しているとは限りません。

しかし、これらの懸念は時間とともに減少してきており、現在は比較的少数のクライアントにしか影響を与えていません。ただし、すべてのクライアントをサポートするには、追加の作業を行う価値があるかもしれません。

APIの利点は、APIロジックを表示の詳細から分離することがはるかに簡単であり、ブラウザ以外の方法（別のアプリケーションなど）でAPIに直接アクセスすることが簡単であることです。これにより、APIのテストとクライアントのテストが自動的に分離されます。これは良いことです。

また、JSONを適切に解析してエスケープするのは、HTMLドキュメント（java-scriptを含むスクリプトタグを含めることができる）の場合よりも簡単なので、ページインジェクション攻撃（クロスサイトスクリプティング攻撃など）に対してもより安全です。これは、クライアントでJSONパーサーを使用してJSONを解析し、まったく安全でない何らかの形式のeval（）を使用しないことを前提としています。

もう1つの可能な利点は、「Webフレームワーク」レイヤーをほぼすべて排除できることです。ASP、JSP、Django、Zendなどの代わりに、JSONをクライアントからサーバーに送受信するための薄いレイヤーが必要です。したがって、必要に応じて、フレームワーク間で簡単に移植できるようにすることもできます。これにより、アプリケーションから1つの大きな可動部分を排除できます。

暗号化と検証は基本的にどちらの方法でも同じように機能すると思います。APIを使用している場合、攻撃者はブラウザをクライアントとして使用する必要はなく、ヘッダーを送信できることを忘れてしまう可能性があるため、Webページを使用している場合よりも、クライアントを信頼しないことを覚えている可能性が高いと思います。 、クエリパラメータ、必要な投稿データ。これは技術的な問題というよりは心理的な問題であり、あなたには当てはまらないかもしれません。