Rest Web Service中的两种SSL / TLS身份验证

Question

我将揭露我的处境。 我有一个在Apache Tomcat 7.0上运行的REST应用程序。 问题是我想在其余的API服务器上进行身份验证并创建客户端角色，以便允许用户执行或不执行某些操作。 客户端的身份验证和角色将由客户端必须发送到服务器的SSL / TLS客户端证书确定。

策略是：

• Rest Client应用程序将请求发送到服务器。
• 客户端除了对发布请求发送操作外，还发送自己的SSL / TLS认证（我不知道如何）。
• Rest Web Service从客户端接收此请求，进行处理，并使用SSL / TLS证书确定客户端角色，以回答是否允许该操作请求。

这可行吗？ 有人可以帮忙一些教程或其他文章吗？

Answer 1

我们在REST服务中采用了HMAC身份验证。 好的阅读： http : //www.thebuzzmedia.com/designing-a-secure-rest-api-without-oauth-authentication/