PHP API身份驗證和會話

Question

我有一個PHP應用程序，它廣泛依賴於會話。 我們現在正在考慮為用戶構建API。 我們最初的想法是，用戶需要使用他們的電子郵件地址，密碼和API密鑰（每個用戶都是唯一的）對api進行身份驗證。

但是，由於當前的應用程序（包括模型）廣泛依賴於用戶會話，我不確定最佳方法。

假設API請求已正確認證，是否可以接受：

• 用戶通過身份驗證后，啟動API調用會話
• 運行模型並將json / xml返回給用戶
• 殺掉會話

這意味着會話為每個API調用實例化，然后立即刷新。 這個可以嗎？ 或者我們應該考慮其他替代方案？

Answer 1

根據我創建API的經驗，我發現最好的會話只持續一個請求並在每個執行周期中重新創建會話信息。

如果您的會話實例化很重要，這顯然會引入開銷，但是如果您只是檢查數據庫的憑據，則應該沒問題。 此外，您應該能夠根據用戶標識符緩存APC或memcache等任何繁重的工作，而不是減少重新創建會話所需的工作，同時確保在每個請求中驗證身份驗證。