Web服务用户身份验证和会话管理的最佳实践

Question

根据标题，我想知道什么是Web服务用户身份验证和会话管理的最佳实践，主要用于后端实现，尤其是使用Java（J2EE）。

是否有人发表过有关此主题的任何内容？在使用用户身份验证时，应该记住哪些安全注意事项？什么样的设计模式有关系？如何管理会议？精心设计的架构是什么样的？

是否存在可用作良好示例的现有系统，甚至是不好的示例？

Answer 1

由于Web服务的Java EE规范实际上是将无状态会话bean公开为Web服务，因此如果没有“自制”解决方案（例如在每个解决方案中包含用户令牌），您将无法实现会话管理。你的要求。

Answer 2

不是专门的REST，但我们对标准Web服务使用与任何其他Web容器请求相同的身份验证机制。意味着将基本认证数据发送到后端。通过SSL。从来没有任何问题。