java - REST HTTP 身份验证 - 如何？

Question

所以，我正在使用 RESTeasy 和 Google App Engine 开发一个 REST 网络服务。我的问题与 GAE 无关，但我提到它以防万一。碰巧我自然需要保护我的资源和我自己的用户(不是 Google 的)。

保护 REST Web 服务似乎是一个非常有争议的话题，或者至少是一个非常“自由”的话题。 REST 没有在这个问题上强加任何标准。根据我对网络和文献的研究，我认为至少有 3 种方法可能适合我的应用程序:

• HTTP Basic(使用 SSL)
• HTTP 摘要(使用 SSL)
• OAuth

OAuth 似乎是最完整的方法。但我认为不需要如此复杂，因为我不需要授权任何第 3 方应用程序。它是一个 Web 服务，仅供我自己的客户端应用程序使用。

HTTP Basic 和 HTTP Digest 看起来是网络上最简单的，但事实是我从未使用 RESTeasy 找到它们的具体实现，例如。我找到了this page和 this one在 RESTeasy 的文档中。它们确实非常有趣，但在这个主题(HTTP Basic 或 Digest)上很少或根本没有提供任何信息。

所以，我在这里问:

如何在 RESTeasy 中使用 HTTP Basic 或 Digest 保护我的 WebService？

也许它是如此简单以至于在文档或其他任何地方都不值得一提？另外，如果有人可以就保护 RESTful Web 服务的问题向我提供一些见解，那可能会有所帮助。

我是否选择了正确的方法？

Answer 1

保护 REST API 的最简单方法是使用基于 SSL 的 HTTP 基本身份验证。由于 header 是加密的，因此使用 Digest 没有多大意义。只要您可以确保客户端上的密码安全，这应该会很有效。