web-services - 将敏感信息发送到 REST 服务

Question

我们目前有一个基于 SOAP 的 Web 服务，我们的内部应用程序使用它来验证用户。基本上，他们发送带有用户名和密码的 SOAP 请求。 Web 服务根据我们的数据存储验证他们的凭据，如果验证成功，则返回用户信息。 Web 服务使用 BASIC 身份验证和 SSL 进行保护。

我们需要对该 Web 服务进行修改，我正在考虑将其重写为 REST 服务。我过去创建的 REST 服务相当简单，不需要安全性。我从未创建过使用敏感信息的 REST 服务，所以我有几个问题/疑虑:

首先，是否有将敏感查询参数(用户凭据)安全发送到 REST 服务的最佳实践？我仍然可以使用 BASIC 身份验证和 SSL。

其次，如果我使用 POST 向 REST 服务发送查询，它是否仍被视为 RESTful，或者 REST 查询是否需要 GET？

Answer 1

您也可以对 REST Web 服务使用 SSL 和基本身份验证。

HTTP GET 通常用于数据检索(查询)，但您也可以使用 HTTP POST。如果您可以使用任何类型的 HTTP 缓存，则 GET 尤其有用。如果您需要传输大量数据来定义查询，或者您的 Web 服务操作需要一些复杂的数据格式而不是简单的参数，则 POST 很有用。