九八云安全背景说明
在安卓应用开发中，直接从客户端（手机）连接网页数据库（如MySQL、SQL Server等）存在严重的安全风险和性能问题。正确的做法是通过服务器端接口（API）间接操作数据库,本文将介绍如何通过服务器中转实现安卓与网页数据库的安全连接。
服务器端实现（以Java Spring Boot为例）
创建数据库表
CREATE TABLE `users` ( `id` INT PRIMARY KEY AUTO_INCREMENT, `username` VARCHAR(50) NOT NULL, `password` VARCHAR(50) NOT NULL );
编写API接口
// UserController.java
@RestController
@RequestMapping("/api/user")
public class UserController {{
@Autowired
private UserService userService;
// 登录接口
@PostMapping("/login")
public ResponseEntity<?> login(@RequestBody UserLoginRequest request) {
User user = userService.validateLogin(request.getUsername(), request.getPassword());
if (user != null) {
return ResponseEntity.ok(user);
} else {
return ResponseEntity.status(401).body("Invalid credentials");
}
}
}}
数据库操作层
// UserService.java
@Service
public class UserService {
@Autowired
private UserMapper userMapper; // MyBatis接口
public User validateLogin(String username, String password) {
return userMapper.findByUsernameAndPassword(username, password);
}
}
安卓客户端实现
添加依赖（以Retrofit为例）
implementation 'com.squareup.retrofit2:retrofit:2.9.0' implementation 'com.squareup.retrofit2:converter-gson:2.9.0'
定义API接口
// ApiService.java
public interface ApiService {
@POST("/api/user/login")
Call<User> login(@Body UserLoginRequest request);
}
发起网络请求
// LoginActivity.java
Retrofit retrofit = new Retrofit.Builder()
.baseUrl("https://yourserver.com/") // 替换为实际域名
.addConverterFactory(GsonConverterFactory.create())
.build();
ApiService apiService = retrofit.create(ApiService.class);
// 构造请求参数
UserLoginRequest request = new UserLoginRequest("test", "123456");
// 异步请求
apiService.login(request).enqueue(new Callback<User>() {
@Override
public void onResponse(Call<User> call, Response<User> response) {
if (response.isSuccessful()) {
// 登录成功，处理用户数据
} else {
// 登录失败，显示错误信息
}
}
@Override
public void onFailure(Call<User> call, Throwable t) {
// 网络错误处理
}
});
安全注意事项
| 风险点 | 解决方案 |
|---|---|
| 数据库凭证泄露 | 安卓端不直接连接数据库，所有操作通过服务器API完成 |
| SQL注入攻击 | 服务器端使用预编译语句（如MyBatis的占位符） |
| HTTP明文传输 | 强制使用HTTPS协议加密通信 |
| 敏感数据存储 | 安卓端不存储敏感数据（如密码），Token需加密后存储于SharedPreferences或EncryptedSharedPreferences |
相关问题与解答
问题1：为什么安卓不能直接连接数据库？
解答：
- 身份认证：为每个API接口添加Token验证（如JWT）
- IP白名单：限制只有特定IP可以访问API（推荐内网部署）
- 日志审计：记录所有API调用日志，监控异常访问行为
- 参数校验：服务器端对所有输入参数进行严格校验，防止非法数据注入
