REST 消息安全（端到端安全）答案

【问题标题】：REST message security (end-to-end security)REST 消息安全（端到端安全）
【发布时间】：2018-03-10 23:46:48
【问题描述】：

在 REST 服务上实现端到端消息安全（身份验证和加密）的最常用方法是什么？

我可以使用 TLS 和基本身份验证进行点对点通信，但这并不能提供端到端的安全性，因为攻击者可能是负载均衡器的管理员。

SOAP 具有 WS-Security 以提供端到端的安全性。什么是 REST 替代方案？

【问题讨论】：

【解决方案1】：

如果您想完全独立于可能的敌对中间体（例如您在问题中提到的 TLS 终止），您应该着眼于加密用户将使用其凭据访问的数据，并在客户端加密/解密它们。

这样一来，无论途中发生什么，最多都会泄漏一个二进制 blob。

【讨论】：