Аутентификация REST на практике

Question

Согласно REST не существует такого термина, как «вошедший в систему» ​​пользователь, поэтому каждый запрос аутентификации должен быть пропущен, чтобы включить аутентификацию пользователя на сервере.

Вопросы:

1. Какие утвержденные методы на практике имеют смысл использовать? AWS? OAuth?
2. Как получить начальный токен, который можно затем отправить при каждом запросе?
3. Существуют ли какие-либо уязвимости, если кто-то получает доступ к этому токену и может идентифицировать его как другого человека, используя этот токен авторизации.

Answer 1

1. Для REST нет органа по утверждению, поэтому нет обязательного или стандартизированного метода. Самая близкая вещь к "одобренной технике" - HTTPS.
2. Используйте HTTPS, и клиент должен безопасно отправлять свои учетные данные каждый раз в рамках каждого запроса. Избегайте того, чтобы сервер диктовал какой-либо токен клиенту с целью управления сеансом, потому что это больше данных, которыми сервер должен будет управлять.
3. Конечно, так же, как было бы плохо, чтобы кто-то получил ваш пароль электронной почты ...