REST和身份验证变体

我目前正在为.net开发一个REST库,我想听听关于我的一个开放点的一些意见:REST和身份验证。

以下是与库一起使用的RESTful接口示例:

[RestRoot("/user")]
public interface IUserInterface
{
  [RestPut("/")]
  void Add(User user);

  [RestGet("/")]
  int[] List();

  [RestGet("/get/{id}")]
  User Get(int id);

  [RestDelete("/delete/{id}")]
  void Delete(int id);
}

然后,服务器代码只实现接口,客户端可以通过工厂获得相同的接口。或者,如果客户端不使用库,则标准HTTP请求也可以工作。

我知道使用HTTP基本身份验证或向需要身份验证的用户的请求发送令牌的主要方法有两种。

第一种方法(HTTP Basic Auth)存在以下问题(部分特定于web浏览器):

• 由于密码是通过请求头传输的,因此本地攻击者很容易通过查看传输的头来获取密码。
• 密码在浏览器内存中可用。
• 没有标准方法使用户“会话”过期。
• 使用浏览器登录会中断页面的外观。

第二种方法的问题更侧重于实现和库的使用:

• 如果每个方法实现都需要检查令牌是否有效,则需要编写更多的代码。
• [RestGet("/get/{id}")] vs。 [RestGet("/get/{id}/{token}")] .
• 在哪里放置令牌:在URI的末尾?根之后?其他地方?

http:/server/user/get/1234?token=token_id .

另一种可能是将参数作为HTTP头发送,但我想这会使普通HTTP客户端的使用变得复杂。

令牌将在每个请求上作为自定义HTTP头(“X-Session-Id”)传递回客户端。

这样就可以完全从接口中抽象出来,任何需要身份验证的实现都可以询问令牌(如果给定)属于哪个用户。

你认为这会对REST有太多的侵犯吗?或者你有更好的想法吗?