哪种 Spring 安全身份验证方案适合移动和 Web 应用程序的 REST API？答案

【问题标题】：Which Spring security authentication scheme fits REST API for both mobile and web apps?哪种 Spring 安全身份验证方案适合移动和 Web 应用程序的 REST API？
【发布时间】：2012-02-08 16:29:07
【问题描述】：

我正在为一组应用构建一组带有 Spring MVC 和安全性的 REST API，我们有两个移动应用和一个 web 应用（该 web 应用是一个 HTML5 单页应用，所以它几乎是独立的）。

我的问题是：哪种身份验证方案最适合此类问题？

我想到的是：

使用 form-login 登录，通过 HTTP POST 登录 url
使用 RememberMe 服务在（月或年）的一段时间内保持会话 - 这主要适用于您希望用户只登录一次的移动应用程序。

我对上述解决方案不是 100% 满意，因为：在 REST API 中使用 cookie 让我感觉很尴尬

有什么建议吗？

谢谢！

亚历克斯

【问题讨论】：

标签： java spring rest spring-security

【解决方案1】：

如果您正在处理 REST，为什么还需要 cookie（或表单登录）？ REST 应该以编程方式访问，因此消费应用每次传递 HTTP BASIC/DIGEST 标头都没有问题

【讨论】：

你是对的，但 cookie 是相同的标头，所以差别不大。我想使用 Spring Security 记住我过滤器的另一件事（我很懒 :) 并避免实现我自己的过滤器