为一个消费者和大量使用而设计的REST Api身份验证

Question

我所工作的公司是将其电子商务网站外包，但在其原有系统中维护订单管理。 （为什么？政治）。我们正在构建API，以便新的电子商务网站可以将订单记录等传递给旧系统。这一系统将通常实时地进行大量呼叫。在这种情况下，最好的身份验证方法是什么？效率是关键。我不确定是否知道我唯一的消费者的IP对我有多大帮助，即某种IP认证是否值得信赖，或者比简单的基本认证更有效？考虑到额外的开销，我猜我应该避免使用oauth或滚动我自己的hmac解决方案。

Answer 1

这取决于您的受众。如果这仅供内部消费，检查IP或通过https添加基本身份验证应该绰绰有余。

如果您计划将业务公开给其他客户，那么您可能希望实现更复杂的身份验证机制。我喜欢Amazon uses，但你们可以调整一下以满足自己的需求。