單點登錄以保護REST API和內部基於Web的系統

Question

我需要一些關於如何使用單一認證系統來保護REST API和基於Web的內部系統的建議。

我期待到使用的可能性：

1. 的OAuth 2.0
2. JA-SIG CAS
3. 定製實現（執行兩個不同的API）
   1. 爲了確保REST API和重定向呼叫到特定的API實例
   2. 驗證Web應用程序用戶。

Answer 1

以下是關於如何保護REST API的一些建議。它們與iPhone相關，但通常適用於客戶端/服務器REST API實現。沒有更多的信息，我不知道他們是如何適用的，但它們可以幫助你了一點：

Security When Using REST API in an iPhone Application

https://stackoverflow.com/questions/15390354/api-key-alternative/15390892#15390892

Answer 2

我假設你有一個UI爲你的web應用，並希望分享您的你的web應用程序和你的web服務之間的身份。 你可以做到這一點通過：

1. 「cassifying」 你的web應用（例如：https://wiki.jasig.org/display/CASC/Configuring+the+Jasig+CAS+Client+for+Java+in+the+web.xml）
2. 從你的web應用proxifying你的電話到您的Web服務（https://wiki.jasig.org/display/CAS/Proxy+CAS+Walkthrough）。