RESTful服务身份验证

Question

根据REST规范,该服务应该是无状态的; 但是后来很难启用身份验证.我读过的一些内容说"让REST成为有状态并不是世界末日".但这不是重点,重点是遵循规范并保持一致.

所以,我在这里问这个问题,希望有人可以指导我朝着正确的方向前进.我正在使用Spring MVC来创建REST服务.我没有意见.它是一个真正的REST服务,它使用/生成JSON.我需要为此应用程序提供无状态的身份验证(以及授权),并遵循REST规范.客户端将使用JavaScript(Backbone.js,CoffeeScript)编写,并将接受用户的用户名/密码.然后它会将该信息发布到服务器.

如何在基于Spring的应用程序中实现真正的无状态身份验证(和授权)？

通过SSL进行摘要式身份验证 - 这是要走的路吗？

Answer 1

会话管理与状态管理不同。

您的服务器端在握手期间可以生成一个令牌，每次客户端进行调用时，它都必须将该令牌添加到头部或其他位置，以便您的服务器能够分析并决定是否可以允许调用继续。

服务器不需要维护任何状态来检查该令牌的有效性，这可以使用某种算法来完成。