api - 保护使用 Play Framework 开发的 REST API

Question

我目前正在使用 Play Framework 2.3 开发 REST/JSON API。我目前正在考虑一种有效而简单的方法来保护 API。我所说的安全性是指某些操作需要最终用户经过身份验证才能被接受。

目前，我依赖于 Play Framework session 管理(作为提醒，它将所有 session 数据存储在一个签名的 cookie 中，该 cookie 在每个查询中发送 - 因此，它是无状态的，即使 cookie 可以是由客户端读取，无法更新)。

流程非常简单:

1. 由于 API 客户端发送登录查询，最终用户登录
2. 如果被接受，将在回复中设置一个 cookie
3. 当发送下一个查询时，API 客户端会自动添加 cookie，从而最终用户被 API 识别

我的问题如下:我真的需要在安全方面走得更远吗？我找不到此现有机制无法正常工作的原因...

提前致谢!

PS:目前我既是API的开发者又是API的使用者，没有公开发布的计划。

PPS:我正在开发的客户端是一个使用 AngularJS 的简单 webapp

Answer 1

你不需要。这是正确的解决方案。

你可以考虑只从可用性的角度去考虑代币。

当然，我假设您使用 https。