Cách triển khai REST API

Question

không có trạng thái Tôi đang làm việc trên API REST sẽ được các nhà phát triển sử dụng viết ứng dụng dành cho thiết bị di động. Người dùng sẽ có thể sử dụng dịch vụ của bên thứ 3 (Google, Twitter, v.v.) để xác thực bản thân, điều này chủ yếu được xử lý bởi OAuth (tùy thuộc vào dịch vụ được đề cập). Chúng tôi sử dụng OAuth 2 chân giữa ứng dụng khách và Máy chủ API (trong đó khóa người dùng/bí mật là ứng dụng cụ thể, nhà phát triển nhận được nó từ trang web của chúng tôi khi ứng dụng được đăng ký ở đó).

Vấn đề của tôi là cách xử lý để theo dõi xác thực người dùng theo cách không quốc tịch. Tôi không có thông tin đăng nhập của người dùng để gửi trong mỗi yêu cầu. Tôi có thể tạo session_id duy nhất khi người dùng đăng nhập và sau đó yêu cầu trong mỗi yêu cầu đối với API REST. Có giải pháp nào khác cho vấn đề của tôi không? Có sử dụng session_id duy nhất để xác định người dùng gây ra bất kỳ vấn đề nào từ quan điểm REST API không trạng thái không?

Answer 1

Tuyên bố từ chối trách nhiệm: Tôi không phải là chuyên gia bảo mật.

Đừng gọi nó là session_Id. Gọi nó là mã thông báo xác thực và chuyển cho nó tiêu đề HTTP ủy quyền bằng cách sử dụng lược đồ xác thực của riêng bạn. Xem ví dụ Google AuthSub.

Không sử dụng mã thông báo xác thực này cho bất kỳ mục đích nào khác ngoài việc xác định người dùng và xác định xem họ có được phép thực hiện yêu cầu hay không. Không liên kết bất kỳ trạng thái nào với mã thông báo và không truy xuất tùy chọn của người dùng dựa trên nó.