REST API，基於令牌的身份驗證

Question

我想用AngularJS開發一個網站。 在后端，我將使用Codeigniter REST框架。 我有一些安全問題，我不想在沒有修復它的情況下開始開發。

我不想使用像api鍵這樣的東西，因為它可以被客戶端訪問，我認為它不會保護我在api方面的方法。 我正在考慮使用基於令牌的身份驗證，但我不知道它是否適合我的情況。 我是否需要為服務器的每個請求驗證用戶？ 或者僅僅使用api密鑰用於后端端？ 此外，我計划將來在不同平台上使用此api應用程序。

我無法決定該怎么做。 如果有人建議我，我將非常感激。

Answer 1

您可以使用API​​密鑰，但是 - 正如您所寫的那樣 - 它是純粹的保護和易於訪問的價值 - 潛在的濫用者只需要查看源或調查查詢。

通常，REST API使用令牌進行保護。 在會話開始時（不是傳統意義 - 相當交互），客戶端需要授權自己，如果一切正確，它將被賦予令牌。 此標記應作為標題包含在所有需要保護的后續請求中。 您可以在后端使用簡單的過濾器，通過驗證已發送的令牌是否有效來保護選定的端點。 這是它的工作原理。