3
REST API安全性存储令牌vs JWT vs OAuth
我仍在尝试寻找最佳的安全解决方案来保护REST API，因为移动应用程序和API的数量每天都在增加。 我尝试了不同的身份验证方式，但是仍然存在一些误解，因此我需要经验丰富的人的建议。 让我说说，我如何理解所有这些东西。如果我理解不正确，请告诉我。 就REST API和WEB而言，它都是无状态的，我们需要在每个请求中发送一些auth数据（cookie，令牌...）。我知道三种用于验证用户身份的广泛使用的机制 使用HTTPS的令牌。我已经使用这种方法很多次，对于HTTPS来说已经足够了。如果用户提供正确的密码和登录名，他将收到令牌作为响应，并将其用于其他请求。令牌由服务器生成并存储，例如存储在单独的表中或存储用户信息的表中。因此，对于每个请求服务器，检查用户是否具有令牌，并且该令牌与数据库中的令牌相同。一切都非常简单。 JWT令牌。该令牌是自描述的，它包含有关令牌本身的所有必要信息，用户无法更改（例如到期日期）或任何其他声明，因为该令牌是由服务器使用secret关键字生成（签名）的。这也很清楚。但是对我个人来说，一个大问题是如何使令牌无效。 OAuth2。我不明白为什么直接在服务器和客户端之间建立通信时应使用这种方法。据我了解，OAuth服务器用于发布具有受限范围的令牌，以允许其他应用程序访问用户信息而无需存储密码和登录名。对于社交网络而言，这是一个很好的解决方案，当用户想要在某个页面上进行注册时，服务器可以请求权限以获取用户信息（例如，从Twitter或Facebook获取信息），并使用用户数据等填充注册字段。 考虑将移动客户端用于在线商店。 第一个问题，我应该比第一类令牌更喜欢JWT吗？就我需要在移动客户端上登录/注销用户而言，我需要将令牌存储在某个地方，或者在JWT的情况下，令牌应该在注销时失效。使用不同的方法来使令牌无效，其中之一是创建无效的令牌列表（黑名单）。嗯 表/文件的大小比令牌存储在表中并与用户相关联并且在注销时被删除时要大得多。 那么，JWT令牌的好处是什么？ 关于OAuth的第二个问题，如果与服务器直接通信，应该使用它吗？客户端和服务器之间仅发出令牌的另一层的目的是什么，但是通信将不是与oauth服务器，而是与主服务器。据我了解，OAuth服务器仅负责授予第三方应用访问用户私人信息的权限（令牌）。但是我的移动客户端应用程序不是第三方。