对于REST服务，api.domain.com比domain.com/api更安全吗？

Question

我正在考虑用于REST Web服务的基本URL。我可以选择使用以下格式之一：

1. https://domain.com/api
2. https://api.domain.com

我希望从客户端javascript应用程序中轻松使用它，并防止伪造请求攻击。这里有最佳实践吗？

Answer 1

如果domain.com是共享域，那么每个部分都应该有自己的子域，没有人应该使用主域，这是保持所有会话分开的必要条件。

如果domain.com是私人域名，则无关紧要。