代码之家 › 专栏 › 技术社区 › h3ct0r

通过HTTP认证的Api凭据,好主意吗?

http-authentication request http security api

h3ct0r · 技术社区 · 10 年前

我正在为自己的服务开发web API。由于API将被限制为一组特殊用户,所以我需要验证凭据。

我看到了许多来自支付网关(如Stripe)的示例,它们使用一种简单的方法来验证用户:使用https网站,它们通过httpauth发送用户“令牌”,请求数据作为GET/POST参数。此用户令牌为每个用户生成一个,可以随时重新生成。

这是允许访问我的API的安全方法吗?它看起来很容易实现,但我看不到其中的缺陷,或者可能我遗漏了什么? 也许使用非对称密码更安全?

谢谢

1 回复 | 直到 10 年前

WoJ 10 年前

为了进行身份验证,您必须向API提供API和用户之间共享的内容。可能是:

登录名和密码。这是一个坏主意,因为它们不容易撤销
象征。看看如何 Google uses JWT ,这是一个很好的实现。
一 TLS client certificate 。这依赖于应用程序(TLS)前面的层来授权特定客户端。由于API必须查询PKI才能识别客户机,因此安装起来更加复杂。

我会选择基于令牌的身份验证。为了拥有一个功能控制台,客户端可以在其中获取令牌,这需要做一些工作,但最终它会更好地与身份验证标准保持一致(并且如果有需要,还可以灵活地使用客户端oAuth)

推荐文章

user987 · 如何在Django中访问提交的表单请求数据

1 年前

Mehdi · 使用python请求从deta.space获取数据

2 年前

Mahir · 如何确保Flask应用程序管理面板中的项目具有一键删除功能?

2 年前

lebrochet · BeautifulSoup:超过24个字符(从a到z)的迭代失败:降低复杂性以首次了解数据集:

2 年前

timaxs com · 如何在python中获得这种响应,就像在bash中一样?

2 年前

Ownedds · 如何发送具有正确内容类型(项目列表)的POST请求?

2 年前

Michael · PHP cURL HTTP请求

3 年前

qvws · 失败时重试请求

3 年前

Danny_webb · 为什么我的网络抓取脚本只检索1000个URL中的500个?

3 年前

mhj.DA · 为什么在反向语句请求中检索到的<span属性(text)是python?

3 年前