spring - 如何在不维护jsessionid的情况下在Spring Boot中保护RESTful API

Question

我需要创建一个SpringBoot RESTful API，以供Web项目或移动应用程序使用。

我的问题是如何在没有通常的基本授权的情况下保护它的安全，该基本授权会向您返回Web浏览器的“jsessionid”并维护 session 。对于Web项目而言，这不是问题，因为它可以存储该jsessionid。但是如何保护移动应用程序对API的请求呢？

对不起我的英语不好。谢谢。

Answer 1

architectural constraints of REST之一是它必须是无状态的。

您的REST API不得包含对客户端进行身份验证的 session 。相反，客户端应传递通常放置在Authentication HTTP header 中的某种 token 。

JWT和OAuth 2.0都是执行此操作的非常流行的方法，并且您可以根据需要完全将HTTP基本身份验证与OAuth 2.0结合使用。

这是一篇名为Stateless Authenticaiton with Spring Security and JWT的文章。希望这会有所帮助!