Мы находимся в процессе обновления нашего серверного API, и нам нужно управлять безопасностью. Наша текущая модель требует, чтобы объект учетных данных (содержащий пользователя, пароль и пин-код) был включен в каждый вызов метода. Наша команда разработчиков, однако, решила, что вместо этого у нас должны быть объекты сеанса (что мне подходит), но новые учетные данные являются просто GUID. Это сильно отличается от того, что я видел в других API в нашей отрасли, поэтому я немного обеспокоен тем, насколько безопасной будет новая модель. Я спросил их, проанализировали ли они обе альтернативы, и они ответили, что нет.
Кто-нибудь знает, есть ли какие-либо явные преимущества, недостатки, риски и т. Д. Использования набора учетных данных по сравнению только с одним элементом (каким бы сложным он ни был)?
PS: канал связи будет безопасным в любом случае, и он отделен от этой конкретной темы