security - 确保休息服务

Question

我正在设计一个 REST 服务，需要很好地防止未经授权的访问。我正在考虑要求一个安全摘要，该摘要是通过散列所有请求参数和一个带有 sha-256 的 key 生成的，并使该服务仅在 https 上可用。谁能告诉我这是否足够安全？

Answer 1

首先，确保您使用的是 en HMAC ，而不是用于生成“安全摘要”的普通 SHA-256。

接下来，您要将什么放入此摘要的输入中？您至少需要方法、URI、有效负载以及很可能是请求的大部分 header (有许多 header 会影响 HTTP 请求的含义，这些 header 在 REST 上下文中很重要)。根据您使用的 HTTP 客户端，这可能会很困难，因为客户端可能会以您无法直接控制的方式设置或更改 header 。

最后，你打算把这个摘要放在哪里？自定义 header (例如 X-Request-Authenticator)似乎是明智的，或者如果客户端在 Web 浏览器中运行，则可能是 cookie。

如果可以，我建议您使用现有工具，而不是自己创建一些东西。使用 SSL 已经为您提供了消息完整性保护，因此请从它开始。然后，如果您只需要简单的访问控制，HTTP 基本身份验证就可以很好地处理 REST 请求。或者，您可以让客户出示证书并进行验证。