问验证从移动（iPhone）应用程序到ASP.Net Web API的请求（请在我的设计中提供反馈）如何实现？

EN

我正在设计一个网站，将有一个手机伴侣（仅限初始iPhone）。该网站将是一个ASP.Net MVC 3应用程序。我还会有一个ASP.Net Web API站点（MVC 4）来向iPhone应用程序提供服务。iPhone应用程序将拥有自己的表单来捕获用户的用户名和密码，并将其发送到JSON标头中的Web API。

我想从一开始就考虑安全问题，而不是一开始就想到安全问题。我不是一个安全专家。我已经做了大量的研究，以了解其他人如何从Web服务处理移动应用程序客户端的身份验证。我想我已经想出了一个体面的解决方案，不涉及到第三方oAuths。

我将非常感谢您提供的任何意见，建议，批评和一般WTF。:)

我最大的担忧是：

1. 确保对Web API的调用获得授权
2. 最大限度地减少重播攻击的风险（因此下面调用中的时间戳）

iPhone应用程序将如此开发： 两个字符串被硬编码到iPhone应用程序中（每个用户的值相同）：

1. 应用程序ID 这是一个字符串，用于标识访问Web API（iPhone，Android，Windows Phone等）的客户端的类型。

1. 应用程序的哈希盐 这是一个字符串，用于对用户不可知的请求进行哈希散列。

两个字符串存储在iPhone应用程序的本地数据库中（每个用户唯一的值）：

1. API用户访问令牌 这是通过Web API在成功验证后提供给客户端的字符串（令牌），并允许客户端访问Web API，而无需在每个请求中发送用户名和密码。
2. 用户的哈希 这是一个字符串，用于对已建立的用户帐户发出的请求进行哈希散列。

iPhone将通过以下方式调用Web API： API方法：创建帐户 客户端发送：

• 新帐户资料（使用者名称，密码，名字，姓氏等）
• 应用程序ID
• UTC时间戳
• UTC时间戳记+应用程序的哈希盐含量的应用程序ID

API返回：

• 新用户的散列盐 这里的想法是，当创建一个帐户时，我可以使用应用程序的硬编码盐，因为如果盐（通过反编译或其他方式）出来，这不是一个巨大的安全风险。 但对于访问和修改用户数据的方法，我将使用仅由该用户拥有的盐，以便攻击者不能使用它来冒充他人。

API Method：Get Account （用于为网站上创建但尚未在iPhone上同步的帐户获取用户散列盐。当用户尝试登录iPhone并且iPhone检测到它存在时会发生这种情况没有该用户名的记录。） 客户端发送：

• 用户名
• 密码（使用应用程序的散列盐散列）
• 应用程序ID
• UTC时间戳
• UTC时间戳记+应用程序的哈希盐含量的应用程序ID

API返回：

• 现有用户的散列盐

API方法：登录（身份验证） 客户端发送：

• 用户名
• 密码（使用用户散列盐进行散列）
• 应用程序ID
• UTC时间戳
• UTC时间戳+用户散列盐盐渍的应用程序ID

API返回：

• API用户访问令牌

API方法：任何命令（即创建发布，更新配置文件，获取消息等） 客户端发送：

• 命令数据
• API用户访问令牌
• 应用程序ID
• UTC时间戳
• UTC时间戳记+应用程序ID + API用户访问令牌，用户的哈希盐含盐量