我希望将一个服务暴露给一些互联网客户端。在当前阶段,api非常小,我只想让已知的客户端能够访问该服务。现在我不需要识别客户端,但是随着api的增长,我预计以后需要识别客户端。
我想知道短期内保护服务的最佳方法,同时考虑到长期可能需要授权客户端访问特定的服务方法?
我考虑使用传输安全-即SSL。我还应该考虑使用消息安全吗?
我想知道短期内保护服务的最佳方法,同时考虑到长期可能需要授权客户端访问特定的服务方法?
我考虑使用传输安全-即SSL。我还应该考虑使用消息安全吗?
clientCredentialType="certificate"
每个客户端都将拥有自己的证书,用于与服务进行身份验证。是否应该为每个客户端提供API密钥,以提供类似的客户端区分级别?
欢迎提出任何其他建议。
请注意,这是一个面向服务的接口,而不是客户端应用程序。服务的用户数量将有限,并且我不预见需要在数据级别应用安全性,更多是在方法访问级别应用安全性。