無狀態API服務中的身份驗證-是否安全？

Question

是否有處理無狀態身份驗證的標准方法？

我正在創建一個API服務器，並希望每個請求都由客戶端簽名，這樣我就可以保證請求的發出者是我們網站的有效用戶。

服務器和客戶端具有共享的機密-即用戶的哈希密碼，因此...

• 服務器向客戶端發送隨機隨機數值
• 客戶端將簽名密鑰K構造為（nonce，hashed_pa​​ssword）
• 客戶端通過使用密鑰K附加消息身份驗證代碼來“簽署”每個請求
  • 例如（“刪除image_x”，user_id，request_signature）
• 然后，服務器在處理每個請求之前檢查簽名是否有效。

有明顯的缺陷嗎？

Answer 1

查看它們用於Amazon Web Services的功能，它們可以完成所有這些工作。