REST服務如何使用令牌進行身份驗證

Question

我已經通過各種博客解釋了使用令牌進行身份驗證的情況。 但是沒有一個站點解釋了令牌認證如何在REST服務端工作。 例如：我有一個令牌T1，它由認證服務器提供給我的應用程序。 我將發送此T1與我請求REST服務S1。那麼S1如何才能知道T1來自經過身份驗證的客戶端？ 對於REST服務的請求是否每次都通過驗證服務器？

Answer 1

I have a token T1 which is given to my app by the authentication server. I will send this T1 with my request for REST service S1. So how will S1 come to know that T1 is from authenticated client? 

這取決於你在服務器端的認證機制的實現。例如，如果您使用OAuth，它將基於客戶端指定的client_id和client_secret。

And does the request for REST services goes through authentication server everytime? 

是，REST服務以便爲每一個請求一些認證邏輯被執行以驗證令牌（OAuth的，自定義等）應該是無狀態是一個有效的。它可能不是完整的身份驗證服務器流程並返回，但有一些基於您的安全實現的邏輯。