php - 使用签名的 REST API 安全性，在哪里/如何存储 key ？

Question

我创建了一个 REST API 并实现了一个签名系统作为安全层，基本上它的工作原理是我有 API 用户使用 key (可以说是密码)连接到 API，只有用户和API 知道，然后在 session 打开后，API 返回一个 API key ，用于所有后续调用。

所有后续调用都将提供 API key 和不同请求参数的 sha256 哈希，哈希是使用 key 创建的。

到目前为止一切顺利，但是我遇到了一个问题，我有一个完整的 AJAX 客户端调用 API，但我不希望我的用户每次想要打开 session 时都输入他们的用户名和密码( key )如果他们过去曾连接到 API，则获取新的 API key 。

暂时，我使用 javascript 将 key 以纯文本形式存储在 cookie 中，但我觉得这不对。

你们也有建议或链接指向我吗？有什么我不明白的吗？

提前致谢!

Answer 1

为他们提供 API 的散列租约。租约授予他们在一定时间内访问 API 的权限，该时间在 token 中指定。例如，它可能在接下来的 7 天内都很好。您只需将结束日期添加到您的 token 并签名即可完成此操作。

当应用程序返回尝试开始新 session 时，它可以要求服务器为其提供新的租约，假设他们已经通过身份验证，再租用 7 天。

如果他们在 7 天后尝试访问服务器，则他们需要重新进行身份验证。