Bezpieczne łączenie z bazą danych w aplikacji desktopowej

Question

Witam, od niedawna hobbystycznie w wolnej chwili piszę proste aplikacje desktopowe w głównie w c# ale również c++ czy node.js. Głównie aplikacje nie wymagającej połącznia do sieci, ale... Ostatnio bardzo zastanawia mnie fakt, jak poprawnie połączyć taką aplikacje z na przykład naszą bazą danych? (połącznie w celu aktualizacji rekordów, dodawaniu nowych jak i zwykłego wybierania)

Wiem, że istnieje możliwość nawiązania połączenia z baza danych bezpośrednio w pliku c# czy c++, ale... no właśnie, ktoś może "zdekompilować" nasz plik i dotrzeć do danych podłączeniowych z bazą danych, czyli jak wiadomo uzyska hasło i login.

Oczywiście poświęciłem kilka dni na surfowaniu w google w celu znalezienia odpowiedzi na moje pytanie ale go nie znalazłem.

Słyszałem też o API, jednakże znów pojawia się ale... Rozumiem fenomen API jako pobieranie rekordów z serwera spoko, ale jak mam aktualizować dane użytkownika przez API, skoro ktoś może wykorzystać strony trzecie aby zmanipulować efekt aplikacji do dostarczenia danych. Czy idzie to jakoś zabezpieczyć?

Przykładem ciekawego nawiązania połączenia są dzisiejsze aplikacje np.: discord. W jaki sposób aplikacja ta nawiązują połączenie ze swoimi bazami?

Stąd pojawia się u mnie pytanie, czy istnieje bezpieczna możliwość nawiązania połączenia i wykonywanie podstawowych działań?

Answer 1

Tak jak wspomniałeś jest to API, a dokładniej API wystawiane przez jakiś backend (po HTTP) który łączy się z bazą. 

Wówczas backend po stronie serwera ma ukryte dane do łączenia się z bazą oraz umożliwia dostęp tylko do określonych funkcji. Np. umożliwia dostęp do odczytu jednak nikt nie może modyfikować ani usuwać danych ;) 

Jeśli możliwości mają zależeć od użytkownika musisz zrobić system logowania. Do API użytkownik podaje swoje dane (login i hasło) i API odsyła mu token który służy do nadania uprawnień np do usuwania rekordów ale tylko swoich :) 

Jeśli potrzebujesz logowania poczytaj o OAuth2.

Jeśli nie chcesz implementować swojego backendu możesz skorzystać z baz danych opartych o API z firebase. 

https://firebase.google.com/products/realtime-database

Comments

Teraz mam zupełnie inne spostrzeżenie na API, widzę światełko w tunelu aby udało się otrzymać zamierzony przeze mnie efekt. Dziękuję za pomoc :)