如何保护REST Web服务？

Question

我正在攻读Spring核心认证,我对REST Web服务和我正在研究如何应用于Spring框架有一些疑问.

所以我对基于我的学习材料的这个问题有一些疑问,但我找不到答案.

所以问题是(我不知道这些问题是彼此相关的):

1. REST安全吗？你能做些什么来保护它？

2. REST是否与传输层安全性(TLS)一起使用？

我已经了解了REST Web服务是如何工作的,我知道它使用Http方法来访问资源并实现CRUD操作,但是什么意味着要求REST是否安全？在这种特定情况下,安全是什么意思？

什么是REST中的TSL究竟是什么？

Answer 1

1. REST安全吗？您可以采取什么措施来保护它？

REST 是一个范例。它不是一个完成的协议或实现。有一些机制可以保护 RESTful Web 服务（其中之一是 TLS），但默认情况下 REST 对此没有任何说明。

OWASP 很好地概述了 REST 安全主题以及如何保护 RESTful Web 服务：

• https://www.owasp.org/index.php/REST_Security_Cheat_Sheet

什么是安全？：

请注意，信息安全有不同的安全目标：

• 保密
• 正直
• 可用性

所有这些都需要不同的安全措施。有些无法仅由 Web 服务 (REST) 处理。（例如，可用性意味着服务器本身是安全的，并且您拥有针对 dDoS 攻击的安全措施。）

REST 的详细定义并没有很好地定义，它不是一个官方标准或规范。我想说 REST 本身并不安全。您可以围绕它构建一些机制来保护它（例如 TLS、令牌身份验证）。其中许多措施与 REST 没有直接关系。

2. REST 是否可以与传输层安全 (TLS) 配合使用？

是的。传输层安全性可以加密与 RESTful Web 服务的通信并向客户端验证服务器的身份。（保密性和某种程度上的完整性）