如何在 PHP REST Web 服務中處理身份驗證？

Question

我讀到過，編寫要從移動應用程序使用的 Web 服務的一個好方法是避免使用 SOAP（過於冗長）並使用 REST。 在許多 REST 示例中，我看到由於 REST 的無狀態特性，最好避免會話。 但是在調用我的 Web 服務時如何保證安全性？ 我想進行“登錄”調用，而不是將session_id/token傳遞給下一個 Web 服務調用。 我該怎么做？

Answer 1

最干凈的方法是使用 HTTP 身份驗證。 雖然這不會通過您提到的 login+sessionid 方式進行，但它會更清晰、更直接（API 調用與其他 API 調用無關，並且客戶端不需要預期會話超時等）

Answer 2

您可以在 json 請求中傳遞用戶令牌（和會話，或任何其他需要的身份驗證數據），例如：

{"auth": {"session_id": "abc", "token":"123"},
 "data": "your request data"
}

如果您對安全非常着迷，您可以在每次用戶登錄后生成一個新令牌，甚至可以為令牌設置生命周期。