RESTful API 身份验证

Question

我在 SO 上找到了很多关于这个主题的问题，但找不到任何答案：

我应该使用用户名和密码验证用户，还是使用 API 密钥验证用户？每种方法的优缺点是什么。

我问这个是因为在我的 API 中，有几个方法我想锁定并验证用户是否有权访问某些文档或操作。我有点不愿意通过让用户发送带有用户名和密码的 HTTP AUTH 标头来进行身份验证，因为它感觉不安全并且对用户来说有点麻烦。但是，另一方面，如果我使用 API 密钥，那么用户创建密码的意义何在？因为他们将不再使用它来访问 API 的功能。

更新

如果其他读者好奇我最终使用了什么，我决定复制亚马逊如何进行验证（很好的解释here:https://www.ida.liu.se/~TDP024/labs/hmacarticle.pdf）

Answer 1

您可以使用基于 SSL 的 HTTP 身份验证，这已经足够安全了。然而，它使 API 的使用变得有点困难，因为它需要客户端库来支持 SSL。如果您期望同时调用太多，SSL 也会影响性能。

API 密钥选项与没有 SSL 的 HTTP 身份验证一样不安全。如果您不关心安全性，那么 API 密钥对于 API 的使用者来说是最简单的。

Answer 2

一种好方法是使用登录方法，获取用户名和密码（希望通过 TLS）。如果他们成功认证，你会给他们一个过期的令牌；他们的其余 API 调用必须包含此令牌才能成功。