REST API - 如何通過API進行無狀態和安全登錄？

Question

我在這裏遇到了問題。我一直在尋找答案，但一直無法找到我正在尋找的確切答案。我正在嘗試爲REST api構建安全的身份驗證方法。我的問題是，我們如何處理REST API的登錄？

由於REST API每次都意味着無狀態，這是否意味着我們需要將客戶端的用戶名/密碼存儲在客戶端（可能是哈希），並將其發送給每個請求？我更願意使用像第一次登錄時創建的身份驗證令牌那樣的系統，但這樣做是否違背REST的基本規則，因爲這在技術上會在服務器上創建「狀態」？

什麼是最好和最實際的方法來處理這個？正如我之前寫的，我正在努力想出一個答案。也許這是由於這個問題沒有明確的答案，但我真的不知道。

在此先感謝。

Answer 1

這也是我對REST的理解：客戶端將每個請求發送的登錄名/密碼發送到服務器。服務器必須根據這些信息來驗證客戶端。關於REST的超媒體原則，根據我的理解，讓用戶登錄不是應用程序狀態。