api - 基于 session 的身份验证是否打破了 REST Web API 的无状态架构限制？

Question

我正在使用 Django REST Framework 设计 REST Web API，并为移动客户端 (Android) 使用基于 session (针对 AJAX)和基于 token 的身份验证。

但我想知道基于 session 的身份验证是否没有打破“无状态”的 RESTful 架构约束？因为它确实在 API 中添加了一层“状态”？但另一方面，对 AJAX 调用使用基于 token 的身份验证对我来说似乎也不是一个好主意，因为那样您应该将 token 存储在 JavaScript 中？

http://www.django-rest-framework.org/api-guide/authentication

亲切的问候，K.

Answer 1

感谢您的引用! :-)

来自引用:

“RESTful Web 服务应使用基于 session 的身份验证，可以通过 POST 建立 session token ，也可以使用 API key 作为 POST 正文参数或 cookie。”

使用 Django 中的默认身份验证设置(登录和注销)，登录时会设置一个 cookie“sessionid”。我的 REST API 配置了全局权限“IsAuthenticated”，所以我猜 REST API 使用 cookie 来确定 session 。

所以所有这一切似乎都符合 REST 架构的限制。 :-)