REST 身份验证实践

Question

根据 REST 没有“登录”用户这样的术语，因此每个请求都应该通过身份验证，以在服务器上启用用户身份验证。

问题是:

1. 在实践中有哪些经过批准且有意义的技术？亚马逊？授权？
2. 如何获取可以随每个请求重新发送的初始 token ？
3. 如果有人可以访问此 token ，并且可以使用此身份验证 token 将他识别为不同的人，是否存在任何漏洞。

Answer 1

1. REST 没有审批机构，因此没有强制性或标准化技术。最接近“批准的技术”的是 HTTPS。
2. 使用 HTTPS 并让客户端在每个请求中每次都安全地发送其凭据。避免让服务器出于 session 管理的目的向客户端指示任何类型的 token ，因为服务器必须管理的数据更多。
3. 当然，就像让别人知道您的电子邮件密码一样不好...