带有基于令牌的身份验证的 REST API

Question

我想用 AngularJS 开发一个网站。在后端，我将使用 Codeigniter REST 框架。我有一些安全问题，我不想在没有解决这些问题的情况下开始开发。

我不想使用 api key 之类的东西，因为客户端可以访问它，而且我认为它不会保护我在 api 端的方法。我正在考虑使用基于令牌的身份验证，但我不知道它是否适合我的情况。我是否需要为每个对服务器的请求验证用户？或者仅将 api 密钥用于后端就足够了吗？而且我还计划在未来将这个 api 用于不同平台上的应用程序。

我无法决定该怎么做。如果有人给我一些建议，我将非常感激。

Answer 1

您可以使用 API 密钥，但是 - 正如您所写 - 它是纯粹的保护和易于访问的价值 - 潜在的滥用者只需要查看源或调查查询。

通常，REST API 使用令牌进行保护。在 session 开始时（不是传统意义上的 - 而是交互），客户端需要自己授权，如果一切都正确，它将获得一个令牌。此令牌应作为标头包含在所有需要保护的后续请求中。您可以在后端使用简单的过滤器，通过验证发送的令牌是否有效来保护选定的端点。这就是它的工作原理。