每次调用时都会进行宁静的Web服务API用户身份验证

Question

我需要创建一个REST api来首次验证用户身份，并基于该用户检索其他信息以进行后续调用。 如果我没记错的话，RESTful服务是无状态的，因此不需要在服务器端存储用户信息。 我的问题是，如何在没有会话的情况下保证所有后续呼叫的用户身份验证？

创建可在移动设备上显示信息的android应用程序需要此服务。

Answer 1

您可以使用OAuth ，这是一种广泛使用的标准。

另一种选择是通过SSL使用BASIC身份验证。 任何体面的HTTP库都将支持BASIC身份验证。 第一次提出请求时，将会向客户提出挑战。 后续请求需要通过安全线路发送BASIC auth标头。

有一种方法可以将秘密传递给客户端，然后使用HMAC-SHA256将URL参数的哈希值发送到服务器。 亚马逊做到了，有一篇文章介绍了如何做到这一点。 它不像OAuth那样复杂。

Answer 2

有许多方法可用，但是IMO最好的办法是生成AuthToken服务器端，并在成功登录后将其返回给客户端。 然后，客户端将其包含在服务器的每个请求中。

我通常要做的是创建一个MD5哈希，包括一个密钥和用户的ID（用户名），用户名（用户密码）以及当前日期时间。 然后，将令牌和当前日期时间存储在数据库中。 在查找之后，我将解码令牌并将数据点与db值进行比较，如果它们与用户匹配，则效果很好。 这种方式是无状态的，并且易于扩展。