REST API 身份驗證無狀態

Question

有人可以告訴我哪些架構是有狀態/無狀態的嗎？

1. 帶有會話用戶身份驗證的 REST API 存儲在 redis 上。
2. 帶有 JWT 用戶身份驗證的 REST API 與 redis 上的吊銷列表一起存儲。
3. 具有 oauth2 用戶身份驗證的 REST API。

我還想知道在 oauth2 方面我是否可以將資源和授權服務器作為一個和相同的 API。 是否值得擁有自己的授權服務器？

什么樣的用戶身份驗證和應用程序身份驗證可以輕松安全地用作網站和移動應用程序將使用的 REST API 的啟動？ 我知道這將是 2 個身份驗證，一個用於用戶，另一個用於應用程序。

拜托，這對我來說更像是對我讀過的所有內容的總結，所以我只需要簡短的回答——已經閱讀了很多。

Answer 1

關鍵目標是將其外部化 - 您的 UI 和 API 代碼將變得簡單且無狀態。 這是授權服務器啟用的功能。

AS 是您與之交互和配置的東西 - 但您不必自己編寫代碼。

使用來自 Google 或 AWS 等雲提供商的免費/廉價授權服務器

如果您做出正確的選擇，遵循 OAuth 2.0 和 Open Id Connect 標准是成本最低的選擇 - 盡管存在學習曲線。

例如，我的Cloud Samples對我來說幾乎是零成本——而且我的代碼很簡單——即使互聯網上的任何人都可以運行它們。

在獲得連接方面，可以瀏覽我的第一個教程，我希望它是直觀且易於查看的。