java - 保护 RESTful Web 服务 URL

Question

这个问题已经有答案了:

RESTful Authentication (14 个回答)

已关闭 6 年前。

如何保护 REST url？

例如，我有一个类似 https://localhost/8080/user 的 GET URL 。它将给出用户列表。如果有人访问此信息，我如何保护它？

Answer 1

从服务器的角度来看，响应静态服务请求和响应页面请求之间没有区别。

因此您可以使用完全相同的机制。

无论以何种方式请求其余服务，这都是有效的:从应用程序、从 Angular 等请求

具体示例

最常见的是使用密码身份验证登录，它向用户提供一个 cookie，当稍后发出请求时，该 cookie 会与请求一起发送。

为了做到这一点，您可以拥有一个 Restful API 端点，例如“登录”，它将通过指定用户名和密码来调用。

它可能看起来像这样:

https://yoursite.com/api/login?user=xxx&pwd=xxx

然后，您的服务器将检查用户名和密码是否正确，如果正确，则简单地回复一条几乎空的消息，但包含以下 header :

Set-Cookie: session=yyyyyyyyyy

之后，您的用户可以正常查询您的restful服务，cookie将自动添加到他们的请求中。您的服务器将能够检查 session ID 是否有效，如果无效则拒绝该资源。