api - 我应该信任使用 GET 方法进行用户身份验证的 API 吗？

Question

我一直在研究 PASTEBIN 类型的 API，它可以为我正在处理的项目启用代码片段的存储。问题是，我发现的大多数 API 不支持现有粘贴的编辑/更新。

我发现 Snipt.org API 确实支持代码段更新。但是，snipt.org API 的身份验证是使用您的 Twitter 帐户完成的。 snipt.org API 文档 ( https://code.google.com/p/snipt-org/wiki/REST_API_Docs?tm=6#Authorization ) 建议使用 GET '/auth' 调用(在 URL 中提供 Twitter 用户名/密码)来获取 API token 以访问 API。是我个人还是这似乎是破坏您的 Twitter 凭据的好方法？

我使用过其他通过 Twitter 进行身份验证的站点，但我首先在 Twitter 站点上进行身份验证，然后将 token 发送到授权应用程序。

Answer 1

嗯，显然这个 API 有一些严重的缺陷。

但是，如果您使用 https，GET 请求的 URL 将在此过程中被加密。 (但仍会登录浏览器的缓存。请清除它。)

所以如果你真的喜欢 snipt，你可以使用一个新的 twitter 帐户，这个帐户只是为了验证 snipt 的目的而创建的。

感觉不会特别好。我对他们基于 API 的这一部分的其余安全代码有一些严重的怀疑。但是我不知道除了已经可以访问您的 snipt 的 snipt 维护者之外，其他人如何使用这部分来窃取您的凭据。因此，如果您仅使用凭据保护片段，而不保护推文，则应该没问题。