宁静的身份验证和授权

Question

我将构建一个单页Web应用程序（使用Backbone js），并使其使用我也必须构建的Restful API（在PHP中）。

我想知道当用户请求一些数据时如何处理对API的用户身份验证和管理授权？

我知道，一个宁静的api应该是无状态的，但是我仍然处于这种状态。

谢谢

Answer 1

身份验证很容易。

您可以将会话作为资源进行处理：

POST /sessions {email, password}
-> {userId, token}

之后，您可以在HTTP标头或cookie中发送令牌（在HTTP标头中更好，因为它可以保护您免受CSRF攻击）。 如果服务未在请求标头中获得令牌，则它可以发送回401未经授权的响应。 如果您无法创建会话，则可以发送回4 **请求，我使用404发送未找到的请求。

授权比较困难。

您必须决定授权系统的粒度。 可以是ACL，RBAC，ABAC，取决于您的应用程序和访问规则的复杂程度。 通常人们使用这样的ACL和RBAC硬编码（虚拟语言）：

@xml

    role 1 editor

@/articles

ArticleController
    @GET /
    readAll () {
        if (session.notLoggedIn())
            throw 403;
        if (session.hasRole("editor"))
            return articleModel.readAll();
        else
            return articleModel.readAllByUserId(session.getUserId());
    }

在较简单的系统上它可以正常工作，但是采用这种方法，您将永远不会拥有干净的代码，因为访问控制不应成为业务逻辑的一部分，您应该将其外部化。 您可以使用ABAC系统（例如XACML实现）来实现。 （XACML是一个很棒的工具，但是我发现它有点复杂。）您也可以使用这种方法创建一个自定义的自动ABAC系统（相同的示例）：

@db

    role 1 editor
        policy 1 read every article
            constraints
                endpoint GET /articles
            permissions
                resource
                projections full, owner

    role 2 regular user
        policy 2 read own articles
            constraints
                endpoint GET /articles
                logged in
            permissions
                resource
                projections owner


@/articles

ArticleController
    @GET /
    readAll () {
        if (session.hasProjection(full))
            return articleModel.readAll();
        else if (session.hasProjection(owner))
            return articleModel.readAllByUserId(session.getUserId());
    }