使用 OAuth2 和 JWT 保护 Restful Web 服务

Question

嗨，我是 Apache cxf REST API 安全方面的新手。我想休息具有良好授权安全性的 API。我发现 Apache cxf 提供了 Ouath2 安全功能（http://cxf.apache.org/docs/jax-rs-oauth2.html).So 我需要使用 json Web 令牌（@987654322 @) 发送到 API 进行授权。只需使用安全线路发送请求到休息 API。到目前为止我的设计很简单。

我的 REST api 对数据库有 CRUD 操作。我想在请求标头中将 JWT 作为访问令牌发送。API 端验证用户并将数据发送回用户。我有两个问题。第一个是这是最好的设计吗对于这种应用程序。第二个是如果这是生成令牌的最佳方式，并且我们需要将这些令牌保留在服务器端。

Answer 1

是的，这是一个很好的设计

我可以用github web api的解释一下

Authorize

首先，你通过在请求中发送客户端 ID 和回调 url（在这里你指定访问级别 ie.scope）来验证你自己是否使用 API，然后你会收到一个代码

Access_token

然后你用这个代码交换访问令牌（这次在 req 参数中包含客户端密码）

收到的此访问令牌将用于您代表用户进行的所有未来调用

你在服务器上存储这个令牌并刷新令牌

https://developer.github.com/v3/oauth/#web-application-flow

虽然这是特定于 github 的，但类似的流程适用于 twitter ，链接到 facebook web api 并略有不同