Web服务客户端证书/身份验证最佳实践的解决方案

Question

我有一个简单的Web服务,允许API第三方开发人员访问.API主要遵循REST原则.

我对通过要求开发人员使用客户端证书来使API更安全的解决方案感兴趣.是否有任何开源解决方案或其他实施建议可以帮助使用用户级证书进行身份验证的基于REST的API？

Answer 1

我的一般建议是将 API 与身份验证例程分开。您的网络服务器应该为您处理交互。

客户端证书场景的解决方案取决于您的环境。你还没有在这里发布这个内容，但似乎有针对性的谷歌搜索应该能让你了解什么是必要的。

由于您向其他方提供 API，因此您确实需要考虑对这些开发人员的环境支持。您在 REST 基础上做得很好，并且大多数编程环境都可以很好地与这些环境进行互操作。

客户端证书支持可能会因环境、平台等的支持效率而有所不同。此外，当您需要证书时，您现在正在影响客户端实现。这几乎肯定会让您需要支持您的客户并让他们使用您的 API 进行启动和运行。这意味着熟悉其他语言、网络服务器、框架等。