REST GET请求,动词和apikey

Question

我想创建一个灵活的API Rest服务器.我将允许客户端使用HTTP或APIKEY进行身份验证.

我的问题是:将apikey添加到GET请求的正确方法是什么？我的问题是apikey污染了网址.

我想象这样的事情:/ book/1/apikey/s4cr4t!

Answer 1

在我看来,您应该只使用Authorization标头.这就是它的用途.

将它放在URL中是一个坏主意,因为:

a)正如你所说它污染URL
b)如果你决定使用SSL来保证安全性,那么API仍将出现在日志文件中
c)缓存将最终创建相同表示的多个副本,每个api密钥一个.

有关创建自己的授权方案的更多信息,请转到此处.

Answer 2

可以使用Authorization标头传递凭证：

GET http://domain.com:/book/1
Authorization: apikey="s4cr4t"