对我的 Web 服务的 HTTP 请求进行身份验证

Question

我的情况是我正在编写一个 Web 服务来向我计划创建的 Android/iOs 应用程序公开数据。

我以前从未处理过 REST API 的身份验证，所以我想知道我的身份验证想法是否正确？

这是一个正确的过程吗：

1. 客户端通过 Facebook 登录进行身份验证，我们为该客户端生成一个令牌，存储在数据库中。此令牌将在一段时间后过期。 （过期后会发生什么？我们是在下一个 http 请求期间生成另一​​个令牌还是直接注销该人？）

2. 客户端发出http请求，在查询字符串中传入token

3. 检查 db 是否该用户的令牌正确

4. 授予客户端访问数据或操作数据的权限

提前感谢您验证我的想法

Answer 1

事实上，您的 RESTful 服务可以使用多个级别的身份验证。它们都是基于标题Accept：

• 基本身份验证。用户名和密码使用 base64 散列并设置在此标头中。
• 基于令牌的身份验证 (OAuth2)。这需要一个为用户提供令牌并管理到期日期和令牌刷新的令牌服务。

我认为这个链接可以帮助你：

• 使用 RESTful 应用程序的令牌实现身份验证 - https://templth.wordpress.com/2015/01/05/implementing-authentication-with-tokens-for-restful-applications/。

希望对你有帮助 蒂埃里