REST API身份验证概念

Question

我希望获得有关此REST API身份验证概念的输入。

我不确定如何设计用户身份验证＆amp;客户端身份验证。

如果用户未登录，我应该将令牌链接到“匿名用户”吗？

没有SSL，如果有人拦截了clientId＆amp; clientSecret / publicToken＆amp; accessToken，他可以假装是用户还是客户？