rest - Web API token 方案的好方法？

Question

我正在为一个 Web 应用程序开发一个 REST API，到目前为止，我们已经在内部为几个配套应用程序开发了这个 API。现在我们正在考虑向外部开发人员开放，我们希望向 API 添加 token ，以帮助识别谁在发出请求并帮助管理它的使用。此时，我们使用 https 和基本身份验证对 API 进行用户身份验证。
我们一直在讨论的 token 方案将非常简单，每个开发人员将被分配一个或多个 token ，这些 token 将作为每个请求的参数传递。
我的问题是，如果你之前做过类似的事情，你是怎么做的(你做的多还是少，你是如何处理安全问题的，等等)，你有什么建议吗？

Answer 1

首先，您可能想查看 http://OAuth.net .根据您的用例，它可能会提供您需要的安全性。

至于 token ，它是大多数协议(protocol)的 BLOB，包括 OAuth。您可以将所需的任何信息以任何格式放入其中。

这是我们所做的，

首先，我们为每个开发人员分配一个具有相关 secret 的 key 。

token 本身是一个加密的名称-值对。我们将用户名、到期时间、 session ID、角色等内容放在那里。它是用我们自己的 secret 加密的，所以没有人能做到。

为了便于使用 Web API，我们使用 Base64 的 URL 安全版本，因此 token 始终是 URL 安全的。

希望有帮助!