通過JWT使用OAuth2保護寧靜的Web服務

Question

嗨，我是Apache cxf rest API安全方面的新手。我想通過授權獲得具有良好安全性的rest API。我發現Apache cxf提供了Ouath2安全功能（ http://cxf.apache.org/docs/jax-rs-oauth2所以我需要使用json Web令牌（ http://jwt.io/ ）發送給API進行授權。僅需要使用安全線路發送其余API的請求。到目前為止，我的設計很簡單。

我的REST api對數據庫有CRUD操作。我認為在請求標頭中將JWT作為訪問令牌發送給API.API端驗證用戶並將數據發送回給用戶。我有兩個問題。第一個問題是這是這種類型的最佳設計嗎第二個是如果這是生成令牌的最好方法，並且我們需要將這些令牌保留在服務器端。

Answer 1

是的，這是一個很好的設計

我可以用github web api解釋它

Authorize

首先，您通過在請求中發送客戶端ID和回調URL來驗證自己是否已使用API​​（此處，您指定訪問級別，即.scope），並且您收到代碼

Access_token

然后，您將此代碼交換為訪問令牌（這次與req參數中包含的客戶機密一起使用）

收到的此訪問令牌用於u代表用戶將來進行的所有呼叫

Nd您在服務器上存儲此令牌並刷新令牌

https://developer.github.com/v3/oauth/#web-application-flow

盡管這是特定於github的，但是類似的流程適用於twitter，鏈接到Facebook的流程與Facebook web api的流程略有不同