java - ReSTLet、GWT 和 session

Question

在 ReSTLet Java API 和 GWT 之间建立 session 的最佳方式是什么？在我的应用程序中，用户将使用用户名和密码登录，如果成功验证则返回用户 ID。然后将其存储在 cookie 中并用于调用 API。这显然是完全不安全的，因为有人可以更改用户 ID 并开始更新和检索另一个用户。

最好的方法是同时将 token 与用户 ID 一起交还，并且 API 调用必须包含该 token 吗？

Answer 1

token 是一个很好的方式，我已经在很多实现中看到了它。通常，这是作为每个请求的简单参数传递的。按照 RESTful 的想法，您也可以每次只在 HTTP 请求中包含凭据。