Как разрешить пользователям проходить аутентификацию с помощью моего REST API?

Question

Как разрешить пользователям проходить аутентификацию с помощью моего REST API?

1

Я пытаюсь создать REST API для своего следующего проекта. Я думаю, что понимаю большинство концепций, но я немного уверен в безопасности. Очевидно, что безопасность - это единственная вещь, которую вы не хотите ошибаться даже с первого выпуска производственного кода.

Я понимаю, что REST является апатридом, поэтому вместо того, чтобы войти в систему и их сеанс храниться на сервере и перезапускаться каждый раз, когда они делают запрос, они отправляют серверу свой уникальный ключ API, а сервер аутентифицирует их при каждом запросе.

Итак, как пользователь, входящий в систему, выглядит "под капотом"? Это что-то вроде:

Пользователь вводит свое имя пользователя и пароль
Они отправляются через POST (или PUT) в конечную точку API
Если учетные данные действительны, генерируется уникальный ключ API и возвращается клиенту
Если учетные данные недействительны, ошибка возвращается клиенту

Тогда клиент обязан хранить ключ API и отправлять его с каждым запросом. Этот ключ хранится на сервере в базе данных и используется для идентификации пользователя и его разрешений и т.д. По каждому запросу.

Это звучит разумно, но также нарушает истинную безгражданность приложения, потому что для большинства запросов требуется, чтобы начальный запрос "сделайте меня API-ключ" отправлен.

Заранее спасибо за то, что помогли мне разобраться!

Ben Guest 31 янв. 2016, в 21:13

Источник

Теги:

php

rest

api

1 ответ

Ещё вопросы

DeveloperACE · Accepted Answer · 2016-01-31T17-10-00.000Z

API GroupMe, например, использует подход на основе токенов для аутентификации пользователей своего API (это позволяет пользователям их API создавать скрипты для вызова API от их имени).

Чтобы успешно совершать вызовы API, я (как пользователь API) должен был войти в систему и создать приложение, которое предоставило мне токен доступа (см. Изображение).

Этот токен доступа (в случае groupme) - это то, что я должен был включить со всеми запросами, чтобы запрос был успешным. Формат может отличаться в зависимости от того, какой API вы используете, но в случае groupme он выглядит так:

https://api.groupme.com/v3/PAGE_TO_CALL?token=YOUR_ACCESS_TOKEN

Это позволит API GroupMe идентифицировать меня и выполнить любое действие, которое я указал. Этот токен доступа похож на мое имя пользователя и пароль, тот, у кого он есть, сможет делать вызовы API как я, включая любые скрипты, которые я создаю...

Если вы заинтересованы в создании своего собственного REST API, я бы рассмотрел эту статью, в частности последний раздел о создании метода проверки подлинности на токенах, который другие пользователи могли бы использовать для аутентификации с вашим API.

Вот наиболее актуальная выдержка:

Проверка подлинности API

В обычных веб-приложениях обработка аутентификации обычно осуществляется путем принятия имени пользователя и пароля и сохранения идентификатора пользователя в сеансе. Пользовательский браузер сохраняет cookie с идентификатором сеанса. Когда пользователь посещает страницу на сайте, для которой требуется аутентификация, браузер отправляет файл cookie, приложение просматривает сеанс по идентификатору (если он еще не истек), и поскольку идентификатор пользователя был сохранен в сеансе, пользователь разрешено просматривать страницу.

С API, использование сессий для отслеживания пользователей не обязательно является наилучшим подходом. Иногда ваши пользователи могут получить доступ к API напрямую, в то время как пользователь может авторизовать другое приложение для доступа к API от их имени.

Решением этого является использование аутентификации на основе токенов. Пользователь регистрируется со своим именем пользователя и паролем, и приложение отвечает уникальным маркером, который пользователь может использовать для будущих запросов. Этот токен может быть передан в приложение, чтобы пользователь мог отозвать этот токен позже, если они откажутся от этого приложения.

Существует стандартный способ сделать это, что стало очень популярным. Он назывался OAuth. В частности, версия 2 стандарта OAuth. Есть много отличных ресурсов в Интернете для реализации OAuth, поэтому я бы сказал, что выходит за рамки этого урока. Если вы используете Ruby, есть несколько больших библиотек, которые обрабатывают большую часть работы для вас, например OmniAuth.

Итак, вы имеете в виду, что вместо «входа в систему» вам пришлось вручную запрашивать токен доступа в их системе, чтобы использовать его при отправке запросов к их API. Вы сказали, что должны были войти в систему, чтобы создать приложение, и я предполагаю, что их собственный сайт взаимодействует с их API. Как этот процесс входа работает с их собственной системой? Я надеюсь, что мой вопрос немного яснее.
что вы имеете в виду в процессе входа? Вы имеете в виду использование токена доступа для аутентификации с помощью их API или вход на dev.groupme.com для создания приложения и получения токена доступа?
Где вы вошли в dev.groupme.com в первую очередь
Вам интересно, как работает бэкэнд этого? извините, я немного не спешу понимать ...
Нет, я прошу прощения за то, что не достаточно ясно. Да, об этом я и спрашиваю. Как их (или Facebook / Google, и т. Д.) Собственные приложения позволяют пользователю войти в систему и затем использовать функции в приложении, которые делают запросы REST. Пользователи в этом контексте не пытаются использовать API напрямую, поскольку они (вероятно) не являются инженерами программного обеспечения и не знают, как все это работает. Но я хочу знать, как все это работает, поскольку я пытаюсь воспроизвести это в своем собственном REST API и приложениях.
поэтому вы пытаетесь создать свой собственный REST API и хотите знать, как разрешить пользователю входить в систему и создавать токен доступа / ключ API и т. д.
Я на самом деле печатал свой собственный ответ на этот вопрос, но, думаю, я тоже неправильно понял ваш вопрос. Возможно, это все еще неверно, но вы спрашиваете, как веб-сайты и веб-приложения могут выполнять такие действия, как получение уведомлений и автоматическое обновление новостных лент с помощью скрытых внутренних вызовов API, без обновления или перенаправления страницы? Я могу быть совершенно неправ в своем понимании того, что вы пытаетесь спросить, но, видя, как вы сказали «они, вероятно, не являются инженерами программного обеспечения», я предполагаю, что вы не создаете этот API для использования другими разработчиками.
@ BenGuest я обновил свой ответ. надеюсь, это поможет!
Ах да, я помню, что читал об OAuth, но это было некоторое время назад, и я забыл, что он используется для такого рода вещей. Спасибо за помощь и ссылку на статью!
без проблем! рад, что я мог понять ваш вопрос и быть полезным! По иронии судьбы, я на самом деле думал о создании API для приложений iOS для взаимодействия с моим сайтом, поэтому мой ответ на самом деле мне тоже помогает!
Кроме того, @BenGuest вы можете попробовать поискать "создать REST API" или подобный, вот как я попал в эту статью (я думаю, это был один из первых результатов). другие результаты в похожем поиске могут вам помочь.