Как проверить личность приложения, отправляющего запрос POST

Вы можете добавить дополнительный уровень защиты, если создаете ключи в своем приложении, используя код C++, доступный в библиотеках Android NDK. Вот удивительный урок для этого. По сути, это защищает ваше приложение от инструментов декомпиляции, которые обычно декомпилируют файлы Java. Кроме того, я рекомендую добавить шифрование AES на ваши ключи перед отправкой через почтовый запрос вашего SSL-сервера.

В вашем onCreate() получите ключ от собственной реализации C++:

String nativeKey = invokeNativeFunction()

затем зашифруйте его:

byte[] keyStart = nativeKey.getBytes();
KeyGenerator kgen = KeyGenerator.getInstance("AES");
SecureRandom sr = SecureRandom.getInstance("SHA1PRNG");
sr.setSeed(keyStart);
kgen.init(128, sr); // 192 and 256 bits may not be available
SecretKey skey = kgen.generateKey();
byte[] key = skey.getEncoded();    

// encrypt
byte[] encryptedData = encrypt(key,b);

Метод шифрования:

private static byte[] encrypt(byte[] raw, byte[] clear) throws Exception {
    SecretKeySpec skeySpec = new SecretKeySpec(raw, "AES");
    Cipher cipher = Cipher.getInstance("AES");
    cipher.init(Cipher.ENCRYPT_MODE, skeySpec);
    byte[] encrypted = cipher.doFinal(clear);
    return encrypted;
}

Редактировать для CSRF:

Здесь есть интересный ответ: Authenticity_token в Rails + Android, также в Википедии, есть довольно много предложений относительно того, как противостоять подделке межсайтовых запросов. который включает в себя:

Synchronizer token pattern
Cookie-to-header token

назвать несколько.

Здесь слой дополнительной безопасности, чтобы идентифицировать подлинность запроса приложения, а также.