什麼是REST Web服務quthentication的常規和最佳實踐？

Question

我正在開始一個新項目（一個Web應用程序），並希望它通過REST Web服務和AJAX檢索並提交大部分數據。但我幾乎不知道如何確保Web服務知道誰正在訪問它，只將數據提供給符合條件的人。

Answer 1

REST Web服務是無狀態的，因此身份驗證也應該是無狀態的。

此身份驗證最常用的方法是使用HTTP身份驗證標頭（詳細信息在此處 - >http://www.ietf.org/rfc/rfc2617.txt）。這裏的先決條件是您應該使用SSL \ HTTPS，否則這些HTTP身份驗證頭將變得容易受到中間人攻擊。

如果您的網站沒有使用SSL，那麼您應該查看其他認證方法，本文（http://www.thebuzzmedia.com/designing-a-secure-rest-api-without-oauth-authentication/）文章詳細討論了所有這些方法。它基本上描述了Amazon Web Services用於驗證非SSL請求的機制。

希望這會有所幫助。