使用现有外部API进行身份验证

Question

我正在构建一个使用现有REST API的Ruby on Rails（Rails - v4.2.3和Ruby 2.2.2）应用程序。 上述API是用PHP编写的。 我需要有关如何管理身份验证的帮助？

在搜索各种论坛时，我遇到了这两个宝石

1. https://github.com/lynndylanhurley/devise_token_auth
2. https://github.com/gonzalo-bulnes/simple_token_authentication

我面临的问题是他们需要我的应用程序配置用户模型（使用Devise）。

然而，我的应用主要是现有REST API的前端，所以如果我配置自己的用户模型，我最终会得到两个数据存储（一个用于我制作的APP，另一个用于现有的API）

我希望使用外部API，而且我的APP没有任何原生模型。

我相信我可以使用ActiveResource（我需要更多的声望点来发布指向gem的链接，抱歉我现在不能这样做，我是StackOverflow的新手）：

但是我不确定如何管理应用程序的安全性。更具体地说，我可以采取哪些措施来防止在将身份验证信息传输到我的API服务器进行身份验证时以明文方式查看身份验证信息？

谢谢。

Answer 1

在API上使用HTTPS。如果您的外部API使用HTTPS，那么用户信息将不会从您的rails应用程序以纯文本形式发送。

不要忘记为rails应用程序使用HTTPS，因为这更重要。