HTTPS协议是否与REST API Web服务相关？

Question

我在PHP应用程序中使用PHP的HTTP REST API。

此API中的某些Web服务使用HTTP请求凭据中的用户身份验证进行保护，但我希望通过提供完全加密的请求数据来避免“中间人”攻击。

我对安全问题并不熟练，我无法在任何地方找到任何明确的答案：

HTTPS是否与STATELESS REST API相关？

根据我的理解，HTTPS会做两件事：

• 加密会话
• 向客户证明他正在与之交谈的服务器是安全的

乍一看，它不响应我的需要，即加密我的服务器和应用程序之间的数据，因为API不使用会话。但我仍有疑虑。

有人能说清楚吗？

我的另一个解决方案是使用公钥/私钥系统加密请求数据。它会更合适吗？

谢谢！

Answer 1

HTTPS非常相关，是的，这是因为你提到的两点。您是否知道OAuth 2实际上强制执行HTTPS？

自己进行所有加密也是一种选择，但是你会失去API易于使用的部分。

对“简单”HTTP请求的大多数中间人攻击都涉及窃取凭据和伪造请求，但他们也可以读取发送和接收的数据。如果您的问题是数据不可读，请使用HTTPS。如果假请求是唯一的问题，那么OAuth 1（不是2）等身份验证协议就足够了。

Answer 2

是的，确实如此。 HTTPS与应用程序无关，它是一种隧道协议。尽管TLS本身就是一个有状态的协议，但是它的HTTP部分不是。

就像使用VPN一样，您仍然可以使用基于REST的应用程序。 TLS只是为每个连接自动设置并拆除隧道。

也就是说，利用HTTP和HTTPS的流水线方面来提高TLS连接的吞吐量是有价值的，但这是与应用程序本身无关的性能调优方面。

Answer 3

如果您不想实施SSL，可能需要查看http://www.jcryption.org/我不知道它是否可以在无状态环境中运行，但可能值得一试。它基本上是一个jquery插件，用于处理为传输的数据创建密钥对关联。可能只适用于表单提交。我们曾经用它来加密旧公司的登录凭证。

Answer 4

如果数据敏感，绝对使用HTTPS，它会在您正在寻找的传输层进行加密。正如已经指出的那样，oAuth 2.0基本上要求它。您可以通过在oAuth 1.0中使用散列/签名来避免中间人，并避免必须使用SSL，但是身体仍然清晰（您已经避免在明文而不是正文中发送API凭据）。