在没有HTTP AUTH的情况下处理restful登录

Question

我正在开发一个Web应用程序，我决定使用一个（几乎）宁静的Web服务（使用node.js）。

我说几乎是安静的，因为虽然我想使用资源范例，但我希望在做某些事情时更加灵活，即身份验证。

我读过的所有文章，教程和示例都说我应该使用http auth进行身份验证。但我有不同的想法。

我创建了一个名为session的资源，其工作方式如下：

POST / session

创建会话，并返回会话ID。此会话标识值将用于此会话中的所有请求。 （此时，用户尚未登录，但有会话，因此我已经可以为会话设置值。）

PUT / session {session，email，password}

使用用户值

更新会话

DELETE / session {session}

删除会话，将用户注销。

以下是问题：

1. 这个会话资源是否有意义，或者只是将这种灵活性放得太远了？
2. 如果这真的很安静，我应该在/ session /：id之类的请求中包含会话ID，但是因为session类似于单例资源（就用户而言，没有其他会话可能），所以这样弯曲规则没有坏处。这是个好主意吗？