security - 如何在 OneSignal 中安全地 setExternalUserId()？

Question

我正在我的网站上设置 OneSignal。

据我所知，有两种方法可以将推送订阅与我的用户 ID 相关联：

• 我可以调用OneSignal.getUserId()，它返回一个 UUID，并对我的 Web 服务器进行经过身份验证的调用，以将此 UUID 与我服务器上的登录用户相关联
• 我可以调用setExternalUserId()发送登录的用户 ID 并将其与OneSignal 服务器上的订阅相关联

第一个选项非常安全，因为只能劫持我的客户端代码以发送无效的订阅 ID（或他们创建的另一个有效订阅 ID），这没什么大不了的。

但是，第二种选择感觉完全不安全：任何人都可以劫持客户端代码以发送任何有效的用户 ID 并将其与其订阅相关联，从而代表另一个用户接收通知。

有没有一种方法可以setExternalUserId()在防止用户将其订阅与其他用户关联的同时安全使用？

我能想到的唯一安全方案是，如果我的用户也有 UUID，而不是顺序 ID，并且这些 UUID 是保密的（即从未在网站上公开公开）。

我能想到的任何其他情况听起来都很不安全。

我错过了什么？

标签： securitypush-notificationonesignalweb-push