Authentication 如何确定web应用程序的确切用户数？

我所在的公司提供一种基于网络的计算工具，必须按月支付（许可证的固定价格）

通常情况下，用户访问我们的网站并使用他们的凭据对自己进行身份验证，然后可以使用该应用程序。显然，当他们取消订阅时，他们将无法再使用该工具

现在另一家公司打电话给我们，因为他们想为他们自己的客户提供我们的应用程序。我们已经确定他们必须为每个客户支付许可费。但也有一个限制：他们的用户不应该登录我们的任何网站（只在我们客户的网站上）。但是web应用程序托管在我们的服务器上，并作为iframe加载

现在有一个问题，我们不确定客户是否告诉我们使用我们的应用程序的正确人数，因此我们希望以某种方式验证这一点

我的一个想法是：

• 我们的客户必须为每个想使用我们的应用程序的用户调用API，以便提交一些信息，如该用户的名称或唯一ID
• 当用户想要访问我们的应用程序时，会在iFrame URL中附加一个ID参数

我认为这不是一个很好的解决方案，因为我们的客户机可以在每次访问中使用相同的ID，并假装只有一个用户使用该应用程序。通过保存访问的ip地址和id，可以在某些情况下确定欺诈行为，因为ip地址不会频繁更改

我们甚至不需要知道哪个用户访问应用程序，只需要知道每月的用户数

---

我很感兴趣，如果有一个加密解决方案，这是很难欺骗。类似于一种不需要用户任何交互的身份验证方法。

当然，你不能。您应该要求合作伙伴为每个用户颁发令牌，以便您知道他们来自合作伙伴。 您可以让合作伙伴调用您公开的api，为用户发出一次性令牌，并指定用户id和IP。您也可以让合作伙伴对此类登录请求进行数字签名。 如果您为每个用户向合作伙伴付费，并且合作伙伴的决策完全正确，那么他可以申请更少的用户

你可以对用户进行指纹识别，你可以提供长期合作，你可以检查安装的IP和字体等。这将允许你检测大多数类型的欺诈

如果你给一个声明的用户id一个cookie，然后在没有cookie的情况下再次看到他，你给他一个新的cookie，然后再看到第一个cookie，而合作伙伴总是声明相同的id，这是一个非常明显的欺诈迹象

如果我是决定性的合作伙伴，我会将地理位置相近的用户配对并合并他们的ID。它看起来与拥有两台设备的用户没有什么不同。但这仍然限制了欺诈的可能范围。每个用户两台设备是合理的。少10人

寻找你信任的商业伙伴