javascript - 安全的 node.js restful API

Question

我想保护一个 Restful Api，我试图让它尽可能简单，并且是无状态的。

存储、生成和验证 API key 的最佳方式是什么？我正在考虑使用 node-uuid 生成 key ，将它们存储在 redis 中，然后使用 passport-apikeys 对其进行身份验证。

这行得通吗？还是我缺少另一个最佳解决方案。

我一直在大量阅读这方面的内容，但是很多资源都缺少实际的实现，例如 post

Answer 1

您的解决方案对我来说听起来不错，但恐怕不够安全。我想建议你用 key 签署请求，这样你就可以保护你的 API 不被篡改。因此，您需要为将要使用您的 API 的用户生成一对 key ，比如 access id 和 access key。 HTTP请求会有两段，一段是access id，另一段是通过access key计算出整个请求内容的签名。但是 access key 不应该通过 HTTP 传递。因此在服务器端，您可以通过存储在 Redis 中的access key 来检查 HTTP 请求的签名。

您可以为此使用 Node.js 加密模块。 http://nodejs.org/api/crypto.html#crypto_class_hmac

希望对您有所帮助。