api - 如何保护我在 playframework 中开发的 REST api

Question

我在这里和其他文章中阅读了很多关于此的内容。首先说明一下我的情况。

假设我有以下 REST 后端:
GET /user以 JSON 格式返回所有用户。 (无需登录)POST /user注册新用户。 (无需登录)DELETE /user删除用户。 (你做需要登录)
POST /login发布登录凭据并在成功验证时返回 200 OK。这也会创建一个 session与 username .
DELETE /login注销，这将删除 session 。

对于用户身份验证和角色，我使用 Deadbolt-2，例如当 DELETE /user首先被称为 session将被查看以确定您是否已登录，然后 username用于确定您是否拥有正确的权限。

这个作品 .我的问题不是关于这种授权/身份验证。然而，它是关于以下内容:

我想保护“公共(public)”API 调用，例如:GET /user在某种程度上，只有 的前端应用程序经我批准可以访问它们。

我已经阅读了很多关于 api-keys 和 HMAC 和 oAuth 的内容。但在我看来，他们谈论的是第一种情况，而不是第二种情况。那么在我的情况下我该怎么做呢？

感谢您的时间。

Answer 1

您可能会发现 Securing Single Page Apps and REST Services文章由 James Ward有用，它是使用 Play Framework、Java、jQuery 和 CoffeeScript 构建的。

引用来源在这里:https://github.com/jamesward/play-rest-security/