javascript - 保护我的 Node.js 应用程序的 REST API？

Question

我可以在我的 REST API 上获得一些帮助。我正在编写一个使用 Express、MongoDB 并在客户端具有 Backbone.js 的 Node.js 应用程序。在过去的两天里，我一直在努力解决所有这些问题，但运气不佳。我已经 checkout :

• Securing a REST API
• Securing my REST API with OAuth while still allowing authentication via third party OAuth providers (using DotNetOpenAuth)
• http://www.thebuzzmedia.com/designing-a-secure-rest-api-without-oauth-authentication/
• http://tesoriere.com/2011/10/10/node.js-getting-oauth-up-and-working-using-express.js-and-railway.js/

我想让我的后端和前端尽可能分开，所以我认为使用精心设计的 REST API 会很好。我的想法是，如果我有机会开发 iPhone 应用程序(或其他类似的东西)，它可以使用 API 来访问数据。

但是，我希望这是安全的。用户登录了我的网络应用程序，我想确保我的 API 是安全的。我阅读了有关 OAuth、OAuth 2.0、OpenID、Hmac、哈希等的信息...我想避免使用外部登录(Facebook/Twitter/等)我希望注册和登录在我的应用程序/服务器上。

...但我仍然在这里感到困惑。也许是深夜，或者我的大脑只是被炒了，但我真的可以在这里做一些步骤。创建安全 API 的步骤是什么？

任何帮助、任何信息、任何示例、步骤或任何东西都会很棒。请帮忙!

Answer 1

按照提高安全性/复杂性的顺序:

基本 HTTP 身份验证

许多 API 库可以让您在其中构建它(例如 Django 中的活塞)，或者您可以让您的网络服务器处理它。 Nginx 和 Apache 都可以使用服务器指令通过简单的 b64 编码密码来保护站点。这不是世界上最安全的东西，但它至少是一个用户名和密码!

如果您使用的是 Nginx，您可以像这样在主机配置中添加一个部分:

auth_basic "Restricted";
auth_basic_user_file /path/to/htpasswd;

(把它放在你的 location/ block 中)

文档:http://wiki.nginx.org/HttpAuthBasicModule

您需要获取 python 脚本来生成该密码并将输出放入文件中:http://trac.edgewall.org/browser/trunk/contrib/htpasswd.py?format=txt

文件的位置无关紧要，只要 Nginx 可以访问它。

HTTPS

保护从您的服务器到应用程序的连接，这是最基本的，可以防止中间人攻击。

你可以用 Nginx 来做这件事，它的文档非常全面:http://wiki.nginx.org/HttpSslModule

为此提供自签名证书就可以了(而且免费!)。

API key

这些可以是您喜欢的任何格式，但如果您需要，它们可以让您撤销访问权限。如果您正在开发连接的两端，则可能不是您的完美解决方案。当您有第三方使用 API(例如 Github)时，往往会使用它们。

OAuth

OAuth 2.0 是这里的首选。虽然我不知道该规范的基本工作原理，但它是现在大多数身份验证(Twitter、Facebook、Google 等)的事实上的标准，并且有大量的库和文档可以帮助您实现这些。话虽如此，它通常用于通过要求第三方服务进行身份验证来对用户进行身份验证。

鉴于您在两端都进行开发，将您的 API 置于 Basic HTTP Auth 之后并通过 HTTPS 提供服务可能就足够了，特别是如果您不想浪费时间搞乱 OAuth。