java - 保护 REST API

Question

我正在开发一个 PHP 社交媒体网络应用程序，该应用程序将由各种网络服务支持，每个网络服务都运行一个 REST API。 Web 服务可能会使用带有 MySQL 数据层的 Java 来实现，但我正在尝试做的重点是，根据适当的情况，以不同的语言/数据存储来实现模块真的很容易。

因此，例如，当用户通过登录表单登录到应用程序时，PHP 代码连接到 Web 服务并发布用户名和密码以检查他们是否应该进行身份验证。我通常会在此时启动 session 并将其存储在 session 数据存储中。

另一个例子可能是如果用户向另一个用户发送私有(private)消息。该消息将被发布到负责所有存储的私有(private)消息传递 Web 服务。类似地，可以联系 Web 服务来为用户检索消息。

虽然我了解如何在 Java 中实现 REST Web 服务并在 PHP 中建立与它的连接，但我完全不确定如何保护传递的数据并确保返回的是用户数据。例如，如果我想将所有用户作为私有(private)消息获取，Web 服务如何知道返回该用户。我可以将该用户标识符作为 GET url 的一部分传递，但肯定任何老用户都可以找出 GET url 并使用它来查找其他人的消息。我想也许我可以传递 session 标识符和 IP 地址，这样我就可以检查 session 数据存储并确保它是正确的用户？

为了保护重要数据的安全 - 例如用户名/密码，我想我会通过 SSL 传递它。

希望这能更好地解释我的问题。

谢谢

Answer 1

查看 HTTP 摘要身份验证。大多数客户端应该支持它，这意味着身份验证详细信息可以作为 header 的一部分随每个请求安全地传递，而不会干扰请求本身的有效负载。