12 / 2 页

论坛徽章:: 2

11楼 [报告]

发表于 2013-06-28 18:21 |只看该作者

sqfasd 发表于 2013-06-27 10:57
写http client如果遇到认证的问题可以在请求header里写入cookie，难点在哪里呢？

1. google的auth需要绕过某墙

2. google有为rss的历史提供public access
某个用户订阅了哪些rss，这算做隐私信息是合理的。
而rss本来就是公开的，就算没有任何用户通过google reader订阅它也是可以访问的。 google 只是给它做了一份历史记录而已。
这个历史记录可以被pubic accessed也是合理的， google reader也是这么做的。
从技术角度说，获取rss的历史记录本来就不需要auth，那为什么要去auth？

3. security
从安全角度说，一个程序应该只被授予完成它所需功能的最小权限。

如果它需要auth，而且用户还不是开发者本人，那就好玩了。用户凭什么把自己的账户提交给某个不受信任的http client？
从网上随便下载一个程序，当它问你要root密码或者google account密码时，你会随随便便就输入吗？

如果一个http client不需要auth就可以完成所需工作，那无论是开发者还是用户双方都更happy。