我将读写方法放在我的数据库中，并通过 URL 公开它们（我使用 CodeIgniter 框架并使用 URL 段将参数传递给这些方法）。最初的想法是让我的 Ajax 脚本调用这些方法。但是，现在我想我可能会将这些方法公开给任何开发人员。
我应该怎么做才能确保只有经过授权的开发人员才能使用我的 API？我认为他们应该将 API 密钥和可能的密码传递给每个方法调用。如果我向他们提供这些详细信息，是否足够安全？
另外，我认为我应该支持 POST 而不是 GET，因为某些必需的参数可能不适合 URL 段。想法？
【问题讨论】：
标签： php ajax api codeigniter
实施 OAuth http://oauth.net/documentation/getting-started/ 将适用于您正在尝试做的事情。我不确定您要保护哪种类型的数据，但我同意 TradyBlix 这可能是最好的。我以前实现过它，并不难弄清楚，它有很多使用它来处理用户数据的 API 的文档。
您应该考虑的另一件事是将 API 密钥限制在域中，因此开发人员只能使用他们自己域中的 API 密钥 - 从本质上防止未经授权的开发人员获得访问权限，至少无法访问授权域和相应的键。
【讨论】：
首先：需要 HTTPS。
HTTPS 确保在发送任何请求数据之前建立安全通道。是的，在发送 任何 请求数据之前：URL、标头、cookie、GET 或 POST 参数……任何东西。这意味着您可以使用简单的方法，例如基于 HTTPS 的 HTTP Basic 身份验证，而不会危及用户的凭据。
这真的没有商量余地，除非您通过 API 传递的数据是真正公开的。如果您不使用 HTTPS，那么与您的 API 的任何通信（包括 HTTP 基本凭据）都可以以纯文本形式被嗅探。
主要网站（如 Facebook）不使用 HTTPS 的唯一原因是大规模使用 HTTPS 会变得昂贵。
如果您绝对不能运行 HTTPS，那么您应该研究 OAuth，在这种情况下，它在 API 身份验证方面取得了长足的进步。使用 OAuth，您可以对用户进行身份验证，同时通过未加密的通道对凭据保密。
第二：认证不是授权。
不要盲目相信来自经过身份验证的 API 用户的数据。确保他们正在访问的方法和操作是适当的，否则您可能会为您的用户提供进入其他用户数据或管理功能的后门。
除此之外还有很多，但如果您遵循这两个原则，您就在路上。
【讨论】：
也许您应该查看OAuth。我是An open protocol to allow secure API authorization in a simple and standard method from desktop and web applications.
说实话，我自己还没有尝试过，但当你提到authorized developers use my API 时，我首先想到的是。只是一个想法。
【讨论】：