private_key存在客户端安全吗

[bglky]

private_key存在客户端安全吗

[charleyw]

私钥让别人看见确实不安全，别人可以把App下载下来，反编译就能看到私钥了。

但是具体不安全到什么程度，没办法具体知道。

看了支付宝的一些文档。退款的接口都需要后台操作。

所以要求服务器端有足够的验证。交易的发起可以在前端完成，但是交易的验证必须在后端进行。

[bglky]

会不会存在这种攻击：攻击者猜想订单号的大规生成规则，攻击者自己生成大量的订单号，请求支付接口，消耗支付的订单号，导致APP正常的订单号（当APP正常的订单号和攻击者的订单号相同时）无法交易成功。谢谢，元旦快乐！

[bglky]

攻击者猜想订单号的大概生成规则

[ryanlin1986]

不安全，必须放到服务端，否则private key就失去了它的作用

[charleyw]

@bgqkl 这确实一种很恶心的攻击方法。我只想到了钱安不安全，没想到这一层。棒棒哒。

[charleyw]

@ryanlin1986 你说的对，但是我不敢苟同，任何事情都有时间成本。安不安全也是在特定情况下的。如果你的App根本没人用，没有攻击价值。就没有意义了。只要在合适时机使用合适的方法。

[charleyw]

等过两天有时间，再加一个方法，支持从后端生成sign.

[bglky]

很期待你做成后端生成sign，棒棒哒。