REST API身份驗證令牌

Question

我正在從頭開始構建我的第一個REST API，並試圖了解處理API令牌的最佳方法。 我不是在談論“用戶身份驗證”（我將為此使用OAuth）。 我說的是應用程序用來標識自己的公共/私有令牌，以便我的API可以首先決定是否允許該應用程序使用API​​。

具有有效令牌的任何人都可以使用某些API資源，而某些資源則需要OAuth身份驗證。 我將通過HTTPS與API進行通信，但我仍要確保遵循某種標准來回傳遞令牌。

Answer 1

您實際上是在談論用戶身份驗證，信不信由你。

我說的是應用程序用來標識自己的公共/私有令牌，以便我的API可以首先決定是否允許該應用程序使用API​​。

這是用戶身份驗證-僅僅是“用戶”是調用您的API的應用程序。

如果OAuth不足以完成您需要的所有事情（可能應該檢查！），則不應開始向HTTPS添加另一種自定義身份驗證方法。 相反，請站在巨人的肩膀上並使用基本身份驗證 ，因為這就是它的用途 。 您的工具，系統管理員和API客戶端將感謝您。