android - 如何保护移动应用程序的 REST API？

Question

我正在尝试为移动客户端向 Django 添加 REST 接口(interface)。移动客户端将通过 HTTPS 使用 JSON。我一直无法找到为移动设备完成此操作的“最佳”方法。从周围搜索，似乎 #2 比 #1 更有利:

1. 使用 HTTP 身份验证并建立基于 cookie 的 session 。所有事务都将通过 HTTP 进行，JSON 消息将仅包含命令或数据。
2. 在所有交易的每个 JSON 消息中传递用户名和密码(加密)，并且不依赖基于 cookie 的 session 。

Answer 1

我建议先通过登录调用发送用户名/密码。 JSON 将传回 authToken 或 accessToken，移动设备将为所有后续调用发回该 authToken 或 accessToken。然后您将检查以确保 authToken 有效。这是许多 API 所采用的方法。在他们的数据库中，他们会将 API key 绑定(bind)到他们登录时使用的用户帐户。