rest - 如何设计 RESTful API 来检查用户的凭据？

Question

我正在为移动应用程序设计 API，我希望它保持 RESTful。
API 是使用 Basic HTTP Auth 授权的，但是，当用户第一次打开应用程序时，他需要先登录，所以我需要设计一个 API 来检查用户的凭据，它将接受一对用户名和密码，相应地返回成功或失败。
问题是网址应该是什么，所以它是 Restful ？我认为/login 不是一个好方法。

Answer 1

通过 HTTP GET 传递敏感数据通常被视为不好的做法。要求。

密码信息是敏感数据，是打破idempotent operations 规则的异常(exception)之一。应该是 GET要求。

为什么这是一个异常(exception)？浏览器历史记录和服务器日志将存储 GET要求。这意味着这些敏感信息在两个地方都以纯文本形式显示。因此，如果有人掌握了其中任何一个 - 那么该信息现在就掌握在他们手中。

您应该使用 HTTP POST请求将此敏感信息传递给 RESTful API，因为浏览器不会存储它们并且服务器不会记录它们。但是，第一道防线是使用安全 HTTP (HTTPS) 来确保这些信息不受外界影响。

所以在中传递这个信息正文 对 HTTPS URL 的 HTTP 请求。