我有一个具有“私有”REST API 的应用程序；从我自己的网页进行 Ajax 调用时，我使用 RESTful URL。但是，这是不安全的，任何人只要知道 URL 模式就可以进行同样的调用。
保护这些调用的最佳（或标准）方法是什么？ 如果我打算在未来发布 API，是否值得现在研究 OAuth 之类的东西，或者我是否混合了两种不同的策略一起？
我正在使用 Google App Engine for Python 和 Tipfy。
【问题讨论】：
标签： python google-app-engine rest restful-authentication tipfy
一定要看看OAuth
它正在迅速成为保护 REST API 的“事实上的”标准，许多大公司都在使用它，包括 Google、Twitter 和 Facebook 等等。
对于 GAE 上的 Python，您有两种选择：
最直接的方法 (恕我直言) 是使用 David Larlet 的 OAuth Support in Django 库，可在 BitBucket 上找到。
但是由于您没有使用 Django，也许您想看看 GitHub 上提供的 python-oauth2 库，它被认为是 Python 2.4 的 OAuth 的最新且经过单元测试的实现+。
无论哪种方式，我认为使用 OAuth 比推出自己的服务安全解决方案要好得多。
【讨论】：
保护 javascript 客户端几乎是不可能的；在服务器上，您没有万无一失的方法来区分使用 Web 浏览器的人和精心设计的脚本。
SSL 通过网络对数据进行加密，但在边缘进行解密，所以这无济于事。它可以防止中间人攻击，但不会验证原始客户端的合法性。
OAuth 可以很好地保护两台服务器之间的请求，但对于 Javascript 客户端来说，它并没有真正的帮助：任何阅读您的 javascript 代码的人都可以找到您的使用者密钥/秘密，然后他们可以伪造签名的请求。
您可以采取一些措施来减轻 API 抓取：
【讨论】：
在您当前的场景 (potentially insecure) 中，OAuth 将是多余的，因为它旨在授权第三方服务访问有关用户行为的资源。
AFAICT，您可以控制客户端、资源和身份验证；因此，您只需要保护对 URL 的访问以及可能通过 SSL [2] 进行客户端和服务器之间的通信。
所以，请使用 Tipfy 的 auth extension 来保护您的网址：
from tipfy import RequestHandler, Response
from tipfy.ext.auth import AppEngineAuthMixin, user_required
class MyHandler(RequestHandler, AppEngineAuthMixin):
@user_required
def get(self, **kwargs):
return Response('Only logged in users can see this page.')
如果用户未知，则可以应用 CSRF 预防措施来帮助保护 REST 服务不被“未经授权”的客户端调用。 Tipfy 内置了 WTForms extension，但它不是 AJAX。相反，session extension 可用于将“authenticity_token”应用于所有需要在服务器上验证的调用。
【讨论】：