REST用户身份验证

Question

好的......基本的想法是让SERVER和CLIENT在物理上分开(两个系统).

我的想法是构建一个将提供的独立Web服务(REST,XML,API-KEY)

1. 身份验证:用户登录,注销
2. 数据:获取产品列表

然后我将用不同的语言(Flash,PHP,JavaScript)创建客户端.数据仅提供给经过身份验证的用户.

用户获取产品列表的典型通信将是:

1. (1请求)登录/开始会话
2. (1个请求)获取产品列表
3. (1个请求)获取产品列表
4. ...

好的......现在我遇到的问题是用户会话.假设我们想要构建Javascript客户端,我们实际上必须创建将与REST通信的PHP客户端(PHP了解REST API-KEY)并将信息转发给Javascript(CLIENT)吗？用户将通过PHP登录到REST服务器,然后通过PHP向REST服务器请求数据？

问题:

• 现在,PHP如何在REST服务器上存储有关打开的用户会话的信息？
• 如果我的想法不好,那么正确的实施方式是什么？
• 备择方案？

Answer 1

RESTful接口不存储有关特定用户会话的任何信息.客户的工作是保持其正在做的事情的信息.

通过在Authorization HTTP标头中提供信息,在每个请求上对用户进行身份验证.如果这成为性能问题,那么请查看优化性能的替代解决方案.

Answer 2

您可能应该使用 HTTP 身份验证进行用户身份验证，因此不需要进行任何类型的会话管理。