我正在为我的应用程序构建一个RESTful API,我希望尽可能使其干净透明。
我需要创建一个身份验证终点,对我来说最合理的方式是构建使用户可以按以下方式进行身份验证:
GET https://example.com/
auth?identity=<username_or_email>&password=<password>
就像我所说的一样,在查询参数中使用HTTP GET方法传递用户身份验证数据,这种方式对我来说似乎非常干净简单。
但我想问你它实际上有多安全。考虑到它将通过SSL/TLS进行加密,您认为像这样传输用户凭据是一个好主意吗?