如何在私密和仅限会员的同时建立一个宁静的api？

Question

回到巴黎的Symfony Live 2012，我很幸运地参与了“ 设计HTTP接口和RESTful Web服务 ”会议，关于如何构建RESTful API同时保持私有和仅成员的问题，我提出了许多问题。

目前我曾经生成一个API密钥来使我的API变为私有（我的意思是我自己可以使用第三方应用程序，但最终用户可以使用）。

为了确保注册用户可以使用API​​（通过移动应用程序），我使用Cookie，好吧，我使用了SESSION。

但是，根据谈话（以及我通过网络阅读的其他资源），这不是正确的做法。

我的需求如下：

• 提供仅我的移动应用程序可以使用的私有API
• 允许（不同角色的）成员执行不同的操作（即：成员可以发表评论，而管理员可以编辑所有评论）

由于REST约束是无状态的（除其他之外）我不能使用Cookie / Session，因为它们需要由客户端启动并且将导致一些非幂等结果。

我在这里和那里读到，保持我的API RESTful的方法是在每个请求上提供凭证。

目前，要对我的API密钥进行身份验证（以使其保密），我使用自定义HTTP授权方案，例如Authorization: MyApp SoMeToKeNV3RYPR!V4T3 ，然后使用POST方法验证我的成员（登录）（就像我在任何浏览器网站中所做的那样）应用）。

你会如何实施这种情况？ 使用这种私人计划并继续使用会话是否可以接受？

经过一些阅读后，我可能会认为在每个请求上使用一些Signature可以帮助解决这些问题。

可以使用第三方客户端中提供的用户凭证生成签名，同时使用公钥/私钥对其进行加密（以保持API私有）。

在每个请求上，签名将根据CRC（或类似的东西）进行检查，而凭证将针对数据库（它似乎不值得检查会话，是吗？）

任何帮助/建议将不胜感激。

PS：OAuth怎么样？ 我不太了解它，但它可能是解决这个问题的方法吗？

Answer 1

你肯定会想要使用OAuth 。 这样您就可以安全地验证您的用户是否是他们所声称的用户。 一旦用户通过身份验证，他们就可以使用访问令牌来签署未来的请求。

您只需要处理身份验证方案和握手，然后在发出访问令牌后安全地存储访问令牌。 但是，如果是我，我不相信自己在设计这样一个系统时处理所有安全案例。 有几个第三方PaaS公司将为您做这类事情。 我知道以下公司有一些可能对您有帮助的API管理工具，并且他们也在处理OAuth实现：

• Apigee
• 第7层
• Ping身份

如果您对安全性如此关注，但您不相信第三方为您处理它，那么您将需要遵循OAuth协议 。