http - 主干 HTTP 基本 rest api 身份验证

Question

我正在使用 Backbone.js，它与无状态的 rest API 通信。有些调用需要通过 HTTP 基本身份验证。

我不明白的是，我必须以某种方式对每个请求进行身份验证，我怎样才能安全地做到这一点？我的第一个想法是有一个 cookie，存储用户名和密码，但这会容易受到攻击吗？

这可以安全地完成吗？

Answer 1

这个问题有两个主题。一个是关于安全性的，一个似乎是关于 REST 规则的。

安全地进行身份验证的方法是通过 SSL 连接传递该数据。这是通过网络安全传输数据的唯一方法。

关于在每个请求 (REST) 上使用基本身份验证发送身份验证，我认识的人实际上很少这样做。

关于多少安全性才足够安全的讨论总是很长，这实际上取决于您的应用程序和目的。我知道这不是您可能正在寻找的明确答案，但我会告诉您我的看法以及我将如何处理您提到的问题。

对于 RESTful 应用程序，故事是应该对每个请求进行身份验证，但在实际实践中，我发现这更像是一个“指南”，而不是硬性规则。很少有完全遵循所有规则的 RESTful 应用程序。我使用一个加密的 cookie 来存储用户 session 数据，该数据具有一个标准的身份验证流程，该流程发生一次并在一周内过期。数据传输通过 SSL 进行以防止 MITM 攻击，修改后的 Backbone 同步发送 CSRF token 以及每个 POST、PUT、DELETE 以防止跨站点请求伪造。对于我正在开发的社交应用程序来说可能“足够好”。如果您正在进行银行电汇和其他操作，则可能不会。希望这能给你一个引用点，让你判断你可能想做什么。