- html - 出于某种原因,IE8 对我的 Sass 文件中继承的 html5 CSS 不友好?
- JMeter 在响应断言中使用 span 标签的问题
- html - 在 :hover and :active? 上具有不同效果的 CSS 动画
- html - 相对于居中的 html 内容固定的 CSS 重复背景?
根据@Veraticus 对此 question 的回答, Web 身份验证框架将当前用户的 ID 保存在 session id 中,以便快速轻松地从数据库中检索用户(无需每次都通过对数据库进行新查询来获取用户)。
这很棒,因为这正是我想通过我正在编写的 API 对我自己的服务器执行的操作(出于性能原因)。
但我想知道 session ID...我的意思是,如果服务器处理 session ,客户端必须向他提供一个 session ID。
但是,我还想知道另一件事:一般来说,Web API 使用的是 API key (例如,https://api-docs.heroku.com/)。使用 API key 和 session ID 对客户端来说可能很复杂...
我希望 Heroku 不要在每次 HTTP 请求时使用收到的 auth-token 执行数据库查询。但如果他们不这样做,他们如何才能在没有 session ID 的情况下对用户进行身份验证?
我很困惑。非常感谢您的任何想法。
最佳答案
session 和身份验证 token /API key 是非常不同的身份验证方法,适用于不同的用例。
session 最常用于 HTML 网站,例如,用户向服务器验证一次(通常通过提供用户名和密码)然后浏览网站而无需重新验证他们自己应每个要求。这对服务器有要求,它需要能够维护 session 状态并将其存储在内存中,同时对客户端也有要求,它需要能够存储 session ID(通常在 cookie 中)并在每次出现时显示它。请求。
Auth tokens/API keys 可以被认为是更轻量级的,因为在请求之间没有状态需要维护(服务器是无状态的)。每个操作几乎都是原子的,客户端必须在每次请求时(使用 token / key )对自己进行身份验证。这种方法更适合通过“程序”而不是用户 Web 浏览器以编程方式访问服务器资源。
IMO,客户端同时使用这两者真的没有意义。如果用户已经通过 session 进行身份验证,则服务器已经知道谁在调用它,并且不需要请求额外的 API key 。
OTOH,您的服务器 Web API 应该足够智能,可以接受来自客户端的两种形式的身份验证。当被调用时,它可以检查客户端是否已经建立了一个 session (在这种情况下它知道谁在调用它),如果没有检查客户端是否正在传递一些 API key /授权 token 并即时验证用户。
回答您最后一个问题,由于使用 key 或 token 保护的 API 是无状态的,因此每个调用都需要单独进行身份验证。这意味着它需要为每个请求加载有关客户端的信息以验证 key 。通常此信息存储在数据库中,因此可能意味着每次请求都会命中数据库,除非服务器实现某种缓存来加快处理速度(Heroku 很可能就是这种情况)。
关于ruby-on-rails - Web API 服务器应该使用 session ID 和/或授权 token 吗?,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/13209437/
出现在 python 2.7.8 中。 3.4.1 不会发生这种情况。 示例: >>> id(id) 140117478913736 >>> id(id) 140117478913736 >>> id
好吧,我对动态创建的控件的 ID 很困惑。 Public Class TestClass Inherits Panel Implements INamingContainer
我收到下面的错误,说有堆栈溢出。发生这种情况是因为带有 IN (id, id, id...id) 的 SQL 语句有大量参数。有没有什么办法解决这一问题?这是在我使用 Eclipse 的本地环境中发生
为什么 CPython(不知道其他 Python 实现)有以下行为? tuple1 = () tuple2 = ()
为什么 CPython(对其他 Python 实现一无所知)有以下行为? tuple1 = () tuple2 = ()
非常简单的问题:当我有一个持久对象时,它通常有一个名为 ID 的属性(对于抽象类)。 那么..命名约定是ID还是Id? 例如。 public int ID { get; set; } 或 public
知道为什么我会收到此错误,我已经尝试了所有命名约定(小写/大写) 我正在使用 Vaadin,这是我的代码片段: public class Usercontainer extends BeanI
为什么 CPython(不知道其他 Python 实现)有以下行为? tuple1 = () tuple2 = ()
我需要改变表的所有主键 UPDATE TODO SET id = id + 1 但我做不到(Demo 来自 Ahmad Al-Mutawa 的回答)描述了原因。主键不能这样改。 我也不能根据这是 sq
我正在尝试列出与用户相关的讨论列表。 想象一下,如果你愿意的话: posts -------------------------------------------------------------
我有一个表,其中包含一些具有自己的 ID 和共享 SKU key 的文章。我尝试使用左连接进行查询,并使用组结果获取从查询返回的所有 id。 我的数据结构是这样的: id - name -
在下表People中: id name 1 James 2 Yun 3 Ethan 如果我想找到最大 ID,我可以运行此查询 select max(id) id from People; 结果是
我正在产品页面上创建评论模块,其中显示垃圾评论选项,并显示 onclick 显示和隐藏弹出窗口。现在它在单个评论中工作正常但是当评论是两个时它同时打开两个因为类是相同的。现在这就是为什么我想要获取父
根据 REST 哲学,PUT操作应该(取自维基百科): PUT http://example.com/resources/142 Update the address member of the co
我想知道如何在使用 PHP 或 JavaScript 进行身份验证后从 Google Analytics 获取 Property Id、View Id 和 Account Id?因为我希望能够将它们存
我想使用所选按钮的 ID 进行删除。但我不知道如何从中获取/获取 id。我尝试了 this.id 但不起作用。 这是我创建按钮的地方: var deleteEmployer= document.cre
我有一个具有以下结构的表“表” ID LinkedWith 12 13 13 12 14 13 15 14 16
请不要在未阅读问题的情况下将问题标记为重复。我确实发布了一个类似的问题,但 STACKOVERFLOW 社区成员要求我单独重新发布修改后的问题,因为考虑到一个小而微妙的修改,解决方案要复杂得多。 假设
在 Android Studio 中,我创建了一个 Person.java 类。我使用Generate 创建了getter 和setter 以及构造函数。 这是我的 Person.java 类: pu
如何在 jQuery 中制作这样的东西: //这是显示的主体 ID //当我悬停 #hover-id 时,我希望 #principal-id 消失并更改 。但是当我将光标放在 #this-id 上时
我是一名优秀的程序员,十分优秀!