rest - 将验证码 token 放在 REST API 中的最佳位置在哪里

Question

我正在设计一个允许客户端发布(创建)资源的 REST API。让我们称我的资源为 Subscription 并且我的 REST api 接受名为 Subscription 的 DtoPOST 请求需要与将在服务器端验证的验证码 token 一起发送。

我的问题是哪里是放置验证码 token 的最佳位置，我正在考虑一些选项:

1. 直接在 Subscription 内
2. 作为 URL 中的参数，例如:/subscriptions?captcha_token=abcd1234
3. 作为 HTTP header
4. 创建一个新的 Dto，包装 Subscription 并携带字段 captchaToken

欢迎任何其他建议。

谢谢。

Answer 1

对于与身份验证或授权相关的任何事情，我通常依赖 header 或查询字符串参数。

一般来说，我不喜欢把payload和auth相关的 Material 混在一起，也不喜欢把它封装起来。

将它放在 HTTP header 中或作为查询字符串参数可为您提供大量隔离。此外，由于它独立于请求主体，您可以为每个 API 调用实现更广泛的身份验证控制，而不依赖于请求主体的存在(对于无论如何不应携带请求主体的 GET 请求很重要)。