我正在基于Spring构建一个restful web服务。我使用了Spring Security。它只能被桌面应用程序访问,基本上是机器对机器的web服务。
我想要一个自定义的服务来进行身份验证。然后根据身份验证的结果执行其他更敏感的操作。
另一种选择是在每个请求的正文中发送凭据,并基本上每次都进行身份验证。
逻辑上说,第一种方法最有效,因为每次进行身份验证都会有相当大的开销。
关于这个问题,你建议采用无状态还是有状态的方式?有状态的方法是否存在重大缺点?
到目前为止,我已经阅读了Java Web Services Up and Running的一些章节,以及从SO中看到了一些问题,例如this。