rest - 如何保护 RESTful API

Question

我一直在寻找一种方法来保护我的 RESTful API。这件事看似简单，但似乎并不那么简单。首先，我正在编写一个连接到 Play Framework 服务器的 iOS 应用程序。这些都与 Google、Facebook、Twitter 或 LinkedIn 无关(我知道这很令人震惊)。哦，我目前的计划不需要自定义应用程序来使用我的 API，暂时只是我的应用程序。

基本身份验证

看起来很简单的是管理 cookie session 的/auth 方法上的基本用户/密码。这可能会引起一些提示，因为它太简单或太弱，但大多数情况下它将身份转移到快速验证的 session key 。我最初的设置是每天让 session 过期，但这导致 iOS 应用程序强制每天登录，这很烦人。

OAuth

我在 iOS 板上发布了一个问题，并收到了关于 OAuth 的直截了当的指示。我开始了对 OAuth 的研究，但天哪，太复杂了，而且似乎没有任何服务器端的例子……只有很多人提示它是多么令人沮丧。所有客户端示例都显示连接到 Google、Facebook、Twitter 和 LinkedIn。噢，快乐!

在观看了 Eran Hammer 对 OAuth1 和 OAuth2 的咆哮之后，继续下去似乎毫无结果，他的 OZ 想法(看起来非常干净)仅处于 Node.js 的早期阶段。

问题

所以，我向广大 StackOverflow 社区提出的问题是……你们会采取什么措施来保护 REST API 的安全？

Answer 1

我建议考虑最大的参与者使用的方法，即 Amazon Web Services 或 Windows Azure - HMAC 。尽管实现起来不太方便，但正如您所看到的，它是值得信赖的技术。

总体思路是使用 key 在 iOS 中对请求的部分(即 header )进行签名，并尝试在 Play 应用程序上重新计算它，以验证请求是真实的且未被操纵。如果它不会失败，您可以(几乎)确定，这是由使用有效 key 的某人发送的。

查看Windows' document得到这个概念(我认为对于常见任务，您可以使用较少数量的用于签名的元素)。

还有其他interesting post (基于AWS身份验证)更好地描述了整个过程。

编辑

当然，您应该意识到 iOS 中的身份验证和保护 API 请求是不同的事情，即使您的 session 每 15 分钟就会过期，您也不能确定某人不会无意中听到它，然后能够从外部发送虚假请求。签署每个请求可以最大限度地降低风险。

另一方面，如果您准备明确的规则来签署请求并编写简短的文档(我什至建议您自己这样做)，您可以将其交付给其他开发人员，然后他“将能够在(几乎)任何支持 SHA256 的平台中实现它，因此您将拥有可供第 3 方应用程序使用的 API - 如果您决定将来发布它。