Uwierzytelnianie interfejsu API REST

Buduję aplikację, która będzie hostowana na serwerze. Chcę zbudować interfejs API dla aplikacji, aby ułatwić interakcję z dowolnej platformy (aplikacja internetowa, aplikacja mobilna). Nie rozumiem tego, że w przypadku używania interfejsu API REST, w jaki sposób uwierzytelniamy użytkownika.

Na przykład, gdy użytkownik zaloguje się, a następnie chce utworzyć temat na forum. Skąd mam wiedzieć, że użytkownik jest już zalogowany?

Możesz użyć uwierzytelniania podstawowego lub szyfrowanego HTTP. Możesz bezpiecznie uwierzytelniać użytkowników za pomocą protokołu SSL, jednak spowalnia to nieco interfejs API.

• Uwierzytelnianie podstawowe - wykorzystuje kodowanie Base64 dla nazwy użytkownika i hasła
• Uwierzytelnianie szyfrowane - szyfruje nazwę użytkownika i hasło przed wysłaniem ich przez sieć.

OAuth jest najlepszym, co można uzyskać. Zaletami oAuth jest token, który można odwołać lub wydłużyć. Zobacz, jak wdrożyć: Link roboczy z komentarzy: https://www.ida.liu.se/~TDP024/labs/hmacarticle.pdf

Na przykład, gdy użytkownik ma login. Teraz powiedzmy, że użytkownik chce utworzyć temat na forum. Skąd mam wiedzieć, że użytkownik jest już zalogowany?

Pomyśl o tym - musi być jakiś uścisk dłoni, który mówi Twojemu interfejsowi API „Utwórz forum”, że to bieżące żądanie pochodzi od uwierzytelnionego użytkownika. Ponieważ interfejsy API REST są zwykle bezstanowe, stan musi gdzieś zostać utrwalony . Twój klient korzystający z interfejsów API REST jest odpowiedzialny za utrzymanie tego stanu. Zwykle jest to jakiś token, który jest przekazywany od momentu zalogowania użytkownika. Jeśli token jest dobry, Twoje żądanie jest dobre.

Sprawdź, jak Amazon AWS wykonuje uwierzytelnienia. To doskonały przykład „przekazywania złotówki” z jednego interfejsu API na inny.

* Pomyślałem o dodaniu praktycznej odpowiedzi do mojej poprzedniej odpowiedzi. Wypróbuj Apache Shiro (lub dowolną bibliotekę uwierzytelniania / autoryzacji). Podsumowując, staraj się unikać niestandardowego kodowania. Po zintegrowaniu ulubionej biblioteki (używam Apache Shiro, btw) możesz wykonać następujące czynności:

1. Utwórz interfejs logowania / wylogowania, taki jak: /api/v1/loginiapi/v1/logout
2. W tych interfejsach API logowania i wylogowania wykonaj uwierzytelnianie w sklepie użytkownika
3. Wynikiem jest token (zwykle JSESSIONID) wysyłany z powrotem do klienta (internet, telefon komórkowy, cokolwiek)
4. Od tego momentu wszystkie kolejne połączenia wykonywane przez klienta będą zawierać ten token
5. Załóżmy, że Twoje następne połączenie jest wykonywane do interfejsu API o nazwie /api/v1/findUser
6. Pierwszą rzeczą, którą zrobi ten kod API, będzie sprawdzenie tokena („czy ten użytkownik jest uwierzytelniony?”)
7. Jeśli odpowiedź wróci jako NIE, wówczas rzucasz status HTTP 401 z powrotem na klienta. Niech sobie z tym poradzą.
8. Jeśli odpowiedź brzmi TAK, przejdź do zwrócenia żądanego użytkownika

To wszystko. Mam nadzieję że to pomoże.

1. Użyj uwierzytelniania podstawowego HTTP do uwierzytelniania klientów, ale traktuj nazwę użytkownika / hasło tylko jako tymczasowy token sesji .
   
   Token sesji jest tylko nagłówkiem dołączonym do każdego żądania HTTP, np .: Authorization: Basic Ym9ic2Vzc2lvbjE6czNjcmV0
   
   Ciąg Ym9ic2Vzc2lvbjE6czNjcmV0 powyżej jest tylko ciągiem „bobsession1: s3cret” (który jest nazwą użytkownika / hasłem) zakodowanym w Base64.

2. Aby uzyskać powyższy token sesji tymczasowej, podaj funkcję API (np . http://mycompany.com/apiv1/login:), która pobiera nazwę użytkownika i hasło administratora jako dane wejściowe, tworzy tymczasową nazwę użytkownika / hasło uwierzytelniania podstawowego HTTP po stronie serwera i zwraca token (np .: Ym9ic2Vzc2lvbjE6czNjcmV0). Ta nazwa użytkownika / hasło powinno być tymczasowe, powinno wygasnąć po około 20 minutach.

3. Aby zwiększyć bezpieczeństwo, upewnij się, że usługa REST jest obsługiwana przez HTTPS, aby informacje nie były przesyłane jako zwykły tekst

Jeśli korzystasz z Javy, biblioteka Spring Security zapewnia dobrą obsługę implementacji powyższej metody

Myślę, że najlepszym rozwiązaniem jest użycie OAuth2. Google go, a znajdziesz wiele przydatnych postów, które pomogą Ci to skonfigurować.

Ułatwi to tworzenie aplikacji klienckich dla Twojego interfejsu API z aplikacji internetowej lub mobilnej.

Mam nadzieję, że to ci pomoże.

Korzystam z uwierzytelniania JWT. Działa dobrze w mojej aplikacji.

Istnieje metoda uwierzytelniania, która wymaga poświadczeń użytkownika. Ta metoda sprawdza poprawność poświadczeń i zwraca token dostępu w przypadku powodzenia.

Ten token musi zostać wysłany do każdej innej metody w moim interfejsie API sieci Web w nagłówku żądania.

Jest dość łatwy do wdrożenia i bardzo łatwy do przetestowania.