Web服務用戶認證和會話管理的最佳實踐

Question

根據標題，我想知道什麼是Web服務用戶認證和會話管理的一些最佳實踐，主要針對後端實現，特別是使用Java（J2EE）。

有沒有人發表過關於此主題的任何內容？在使用用戶身份驗證時，應該牢記什麼樣的安全考慮？什麼樣的設計模式是相關的？會議應如何管理？什麼是精心設計的架構看起來像？

是否有現有的系統可以作爲很好的例子，甚至是壞的例子？

Answer 1

由於針對Web服務的Java EE規範實際上是將無狀態會話Bean公開爲Web服務，因此如果沒有「自制」解決方案（如包括用戶令牌），將無法實現會話管理你的每一個要求。

Answer 2

不是特別的REST，但我們對標準Web服務使用與其他Web容器請求相同的身份驗證機制。意味着將基本認證數據發送到後端。通過SSL。從來沒有任何問題。