我一直在寻找一种方法来保护我的RESTful API.这似乎很简单,但似乎并不那么简单.首先,我正在编写一个连接到Play Framework服务器的iOS应用程序.这些都与Google,Facebook,Twitter或LinkedIn无关(令我感到震惊).哦,我目前的计划不要求自定义应用程序使用我的API,它只是我的应用程序暂时.
基本认证
看似简单的是管理cookie会话的/ auth方法的基本用户/传递.这可能会引起一些呻吟声,因为它太简单或太弱,但主要是它将身份移动到快速验证的会话密钥.我最初的设置是每天使会话过期,但这导致iOS应用程序每天强制登录,这证明是一个烦恼.
OAuth的
我在iOS主板上发布了一个问题,并对OAuth采取了直截了当的指示.我对OAuth的研究开始了,但是神圣的事情很复杂,似乎没有任何服务器端的例子......只是很多人抱怨它有多么令人沮丧.所有客户端示例都显示连接到Google,Facebook,Twitter和LinkedIn.哦,欢乐!
看完Eran Hammer对OAuth1和OAuth2的咆哮后,继续看起来毫无结果,他的OZ想法(看起来很干净)只是在node.js的早期阶段.
题
所以,我对广泛的StackOverflow社区的问题是......你如何保护REST API？