web-services - Web 服务客户端证书/身份验证最佳实践的解决方案

Question

我有一个简单的 Web 服务，它有一个允许第三方开发人员访问的 API。 API 主要遵循 REST 原则。

我对通过要求开发人员使用客户端证书来使 API 更加安全的解决方案感兴趣。是否有任何开源解决方案或其他实现建议可以帮助使用用户级证书进行身份验证的基于 REST 的 API？

Answer 1

我的一般建议是将您的 API 与您的身份验证程序分开。您的 Web 服务器应该为您处理交互。

您这边的客户端证书方案的解决方案取决于您的环境。您尚未在此处发布该内容，但似乎有针对性的 Google 搜索应该可以让您了解什么是必要的。

由于您向其他方提供 API，因此您确实需要考虑对这些开发人员的环境支持。您在 REST 基础上做得很好，并且大多数编程环境将与这些环境很好地互操作。

客户端证书支持在跨环境、平台等的支持效率方面可能会有所不同。此外，当您需要证书时，您现在会影响客户端实现。这几乎肯定会让您处于要求您支持客户并让他们使用您的 API 运行的位置。这意味着熟悉其他语言、Web 服务器、框架等。