REST Web服務調用約定

Question

我的Web應用程序（比如說A）將會公開少數REST服務（GET，POST和PUT），這些服務將用於其他2個Web應用程序（如B & C）。這些服務可以由其他Web應用程序調用，而不用A登錄，同時這些服務僅適用於B & C（可能在以後的D，E中使用）。

現在既然B & C用戶不會用A登錄，我沒有考慮會話維護，但是，我認爲A需要驗證來電是否僅來自B & C.我可以在這樣的外部用戶的REST簽名中引入user id和password（但是想知道這種情況下的標準約定）。我正在尋找你的建議。

應用程序A基於Spring，Java和Spring REST。我打算介紹智威湯遜的會議。

Answer 1

我說你有點搞砸了。

1. 從來沒有在URL傳遞密碼，因爲許多服務器登錄網址（以明文）。
2. 爲了確保Spring Application的安全，我建議使用Spring Security。
3. 如果您絕對不想維護用戶會話，則可以爲每個用戶生成API密鑰，並且用戶將該密鑰附加到每個請求。這樣的API密鑰可能由UUID.randomUUID().toString()

Answer 2

你想在OAuth 2.0和JWT tokens看作爲解決當前的認證/授權流產生。

在OAuth中，您將使用身份提供程序（iDP）對用戶進行身份驗證並使用用戶信息和聲明發布令牌，而不是將該令牌傳遞給信任令牌發佈者的資源提供程序（API，網站等） （iDP）並且可以驗證令牌有效性。