RESTFULL API如何驗證最終用戶？

Question

我需要構建一個REST API，它將有一個Web前端（將來也會移動）。

我對如何管理最終用戶的身份驗證和會話管理有點困惑。我知道用API有2種認證，機器對機器和用戶對機器，前端將使用機器到機器的方式，但是，從REST設計之後的狀態更少，我怎麼能使用戶身份驗證？

我應該在前端處理用戶會話管理嗎？ 我應該在每個請求中發送用戶標識和密碼嗎？

我對這個話題非常混淆。

感謝您的幫助。

Answer 1

是的，你應該在前端處理用戶會話管理。當用戶登錄時，您將pwd和id發送給api，api會返回給用戶（您需要的所有關於用戶的所有內容 - 這應該也包括某種用戶令牌，您將在下一個操作中使用它來標識用戶）。 這個過程只完成一次，因爲那樣你就可以將你的用戶保存在會話中。當用戶註銷時，您只需刪除會話。

所以基本上會發生什麼是id + pwd被髮送到api。 Api以用戶令牌返回用戶。然後，對於每個請求，您都可以將用戶令牌發送給api，以便您知道哪個用戶正在做什麼並在後端處理此問題。