session - REST 中的 OAuth token 和 session

Question

另一分钟我读了一篇关于 OAuth 的文章。它特别描述了在一系列请求期间客户端和服务提供商之间交换的 token 。

文章还提到，OAuth 作为授权层在 RESTful API 中获得了广泛的欢迎。据我了解，REST 应该保持完全无状态。

问题:这种重复的代币交换是否会破坏 REST 的“无状态”原则？恕我直言， token 可以被视为一种 session ID，不是吗？

Answer 1

OAuth token 是明确的 session 标识符，OAuth token 协商协议(protocol)中的请求之间的交互不是无状态的，因为请求必须按特定顺序执行，并且它们确实需要服务器上的每个客户端存储，因为您需要跟踪比如它们的发行时间。所以，是的，OAuth 确实违反了 RESTful 架构的严格原则。

不幸的是，现实世界^TM需要我们做一些事情，比如允许应用程序代表个人进行身份验证而不请求他们的密码，OAuth 在这方面做得相当好。如果没有这种状态，就不可能实现类似的安全认证方案。事实上，OAuth (1.0a) 所需的更改之一是向 token 协商协议(protocol)添加更多状态以减轻安全风险。

那么，它是否破坏了 REST 的无状态原则？是的。这有关系吗？除非你住在象牙塔里:-)