会话用于REST身份验证吗？

Question

4

对于这个新手问题，很抱歉。这是我第一次尝试实现REST接口（使用PHP）。不管怎样，由于HTTP协议的无状态性质，为了确保以下内容最佳实践是什么：

GET/ /user/{id}/friends

session始终只由当前认证用户执行？通常将session用作限制REST访问的方法吗？

- gremo

1个回答

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- Chris Eberle · Accepted Answer

你可以使用HTTP会话，它们本质上就是服务器端的cookie。通常情况下它们是可以使用的，但最近有很多关于会话劫持的报告。所以如果你真的很担心这个问题，我的建议是使用HMAC。它的设置比较棘手，但一旦设置好了，你就可以确信消息确实来自已认证的用户。