Ключи API против HTTP-аутентификации против OAuth в RESTful API

Question

Ключи API против HTTP-аутентификации против OAuth в RESTful API

86

Я работаю над созданием RESTful API для одного из приложений, которые я поддерживаю. В настоящее время мы планируем создавать в нем различные вещи, которые требуют более контролируемого доступа и безопасности. Изучая способы обеспечения API, я нашел несколько разных мнений о том, какую форму использовать. Я видел, как некоторые ресурсы говорят, что HTTP-Auth - это путь, в то время как другие предпочитают ключи API, и даже другие (включая вопросы, которые я нашел здесь на SO) клянутся OAuth.

Тогда, конечно, те, которые предпочитают, скажем, ключи API, говорят, что OAuth предназначен для приложений, получающих доступ от имени пользователя (как я понимаю, например, для входа на сайт, не принадлежащий Facebook, используя ваш Facebook), а не для пользователя, напрямую обращающегося к ресурсам на сайте, на котором они специально подписались (например, официальный клиент Twitter, обращающийся к серверам Twitter). Однако рекомендации для OAuth, по-видимому, даже для самых основных потребностей в проверке подлинности.

Итак, мой вопрос заключается в том, что - если все это сделать через HTTPS, каковы некоторые из практических различий между этими тремя? Когда следует относиться к другим?

Shauna 20 июль 2011, в 20:24

Источник

0

с чем вы в итоге поехали?
Irwin 28 янв. 2013, в 18:30
0

@ Ирвин - я задал этот вопрос довольно давно и с тех пор перешел от проекта, требующего его, но в итоге я использовал комбинацию ключей API и сгенерированного пароля (который пользователи никогда не видят), которые отправляются с использованием HTTP-аутентификации.
Shauna 28 янв. 2013, в 18:57

Теги:

security

api

restful-authentication

1 ответ

Ещё вопросы

@ Ирвин - я задал этот вопрос довольно давно и с тех пор перешел от проекта, требующего его, но в итоге я использовал комбинацию ключей API и сгенерированного пароля (который пользователи никогда не видят), которые отправляются с использованием HTTP-аутентификации.

Sid · Answer 1 · 2012-01-17T20-28-00.000Z

59

Это зависит от ваших потребностей. Вам нужно:

Identity - кто утверждает, что делает запрос API?
Аутентификация - действительно ли они говорят, что они?
Авторизация - разрешено ли им делать то, что они пытаются сделать?

или все три?

Если вам просто нужно идентифицировать вызывающего абонента для отслеживания объема или количества вызовов API, используйте простой ключ API. Имейте в виду, что если пользователь, которому вы выдали ключ API, делится им с кем-то другим, он также сможет вызвать ваш API.

Но если вам нужна авторизация, то вам нужно предоставить доступ только определенным ресурсам на основе вызывающего API, а затем использовать oAuth.

Вот хорошее описание: http://www.srimax.com/index.php/do-you-need-api-keys-api-identity-vs-authorization/

Sid 17 янв. 2012, в 20:28

0

Я уже придумал решение этого вопроса, но в этом случае мне понадобились все три.
Shauna 24 янв. 2012, в 18:40
0

Эта ссылка была действительно полезной. ура!
Pure.Krome 02 март 2012, в 00:24
0

Под «определенными ресурсами» вы подразумеваете «определенные вызовы API» или «определенные записи базы данных», или оба?
Magne 01 апр. 2015, в 12:24
0

В основном записи БД (или все, что показывает защищенное состояние или изменяет состояние). Но это также может быть что-то вроде премиальной функции (например, запуск алгоритма в облаке), которая на самом деле ничего не меняет в БД, но использует системные ресурсы и должна быть доступна только авторизованным лицам.
Sid 03 апр. 2015, в 21:10
6

По иронии судьбы связанный блог теперь показывает неавторизованную страницу с ошибкой
Steve 11 авг. 2015, в 20:22
0

@ Стив Иронический действительно. Я вставил еще одну ссылку, которая использует исходную статью в качестве ссылки. Это может быть несколько полезно.
Sid 11 авг. 2015, в 20:30
0

@Sid Я работаю над приложением, которое использует OAuth для регистрации пользователей, которые регистрируются в Facebook или LinkedIn. Кроме того, мы открываем наш API для других служб управления данными. В этом случае вы бы порекомендовали OAuth для аутентификации пользователя и ключ API или комбинацию имени пользователя и пароля (как в статье, на которую вы ссылались) для служб, обращающихся к API? OAuth и API-ключ оба используются для разных целей, верно?
Tom Doe 17 авг. 2015, в 16:09
0

@ TomDoe Привет Том - Да, это имеет смысл. Вы, вероятно, хотите использовать OAuth2 сейчас. Если ваш сервер работает на Python (Django или Flask), посмотрите на github.com/omab/python-social-auth
Sid 18 авг. 2015, в 19:43
0

Я не понимаю, как ключ API не может обеспечить эти три вещи. Идентификация и Аутентификация основаны на том, что вы знаете какой-то секрет? (если вы не введете 2FA, это отдельная тема). Если я дам очень длинный API-ключ пользователя 5, то он утверждает, что я пользователь 5, по крайней мере так же, как и имя пользователя / пароль. И нет никаких причин, по которым нельзя было бы назначить разные разрешения для разных ключей API. Правильно? Что мне здесь не хватает?
Nathan Long 20 апр. 2017, в 19:23

Показать ещё 7 комментариев