验证对我的Web服务的HTTP请求

Question

我的情况是我正在编写一个Web服务来向我计划创建的Android / iOs应用程序公开数据。

我之前从未处理过REST API的身份验证，所以我想知道我的身份验证是否正确？

这是一个正确的过程：

1. 客户端通过Facebook登录进行身份验证，我们为此客户端生成一个令牌，存储在数据库中。此令牌将在一段时间后过期。 （当它到期时会发生什么？我们在下一个http请求期间生成另一​​个令牌还是只记录该人？）

2. 客户端发出http请求，在查询字符串中传递令牌

3. 检查数据库是否该用户的令牌正确

4. 让客户访问数据或访问数据操作

提前感谢您验证我的想法

Answer 1

事实上，有几种级别的身份验证可用于您的RESTful服务。它们都基于标题Accept：

• 基本身份验证。用户名和密码用base64进行哈希处理，并在此标题中设置。
• 基于令牌的身份验证（OAuth2）。这需要一个令牌服务，为用户提供令牌并管理到期日期和令牌刷新。

我认为此链接可以帮助您：

• 使用针对RESTful应用程序的令牌实施身份验证 - https://templth.wordpress.com/2015/01/05/implementing-authentication-with-tokens-for-restful-applications/。

希望它能帮到你， 亨利