@skrevel（http://www.berenddeboer.net/rest/authentication.html )讨论了一种复杂但真正失败的身份验证方法。

您可以尝试访问该页面（该页面应仅对经过身份验证的用户可见）http://www.berenddeboer.net/rest/site/authenticated.html没有任何登录凭据。

（很抱歉，我无法对答案发表评论。）

我会说REST和身份验证根本不混合。REST表示无状态，但“已验证”是一种状态。不能在同一层同时使用它们。如果你是一个RESTful的拥护者，并且不赞成状态，那么你必须使用HTTPS（即将安全问题留给另一层）。

@skrevel（http://www.berenddeboer.net/rest/authentication.html )讨论了一种复杂但真正失败的身份验证方法。

您可以尝试访问该页面（该页面应仅对经过身份验证的用户可见）http://www.berenddeboer.net/rest/site/authenticated.html没有任何登录凭据。

（很抱歉，我无法对答案发表评论。）

我会说REST和身份验证根本不混合。REST表示无状态，但“已验证”是一种状态。不能在同一层同时使用它们。如果你是一个RESTful的拥护者，并且不赞成状态，那么你必须使用HTTPS（即将安全问题留给另一层）。

我认为restful身份验证涉及将身份验证令牌作为请求中的参数传递。示例是api对apikey的使用。我认为使用cookie或http身份验证不合格。

这里是一个真正且完全的RESTful身份验证解决方案：

在身份验证服务器上创建公钥/私钥对。将公钥分发给所有服务器。当客户端进行身份验证时：3.1.发行包含以下内容的代币：到期时间用户名（可选）用户IP（可选）密码散列（可选）3.2.使用私钥加密令牌。3.3.将加密令牌发送回用户。当用户访问任何API时，还必须传递其身份验证令牌。服务器可以通过使用身份验证服务器的公钥解密令牌来验证令牌是否有效。

这是无状态/RESTful身份验证。

注意，如果包含密码哈希，则用户还将发送未加密的密码以及身份验证令牌。服务器可以通过比较散列来验证密码是否与用于创建身份验证令牌的密码匹配。需要使用HTTPS之类的安全连接。客户端的Javascript可以处理获取用户的密码并将其存储在客户端，可以存储在内存中，也可以存储在cookie中，可能使用服务器的公钥进行加密。

这当然不是关于“会话密钥”，因为它通常用于指在REST的所有约束条件下执行的无会话身份验证。每个请求都是自我描述的，携带足够的信息，可以在没有任何服务器端应用程序状态的情况下自行授权请求。

最简单的方法是从RFC 2617中的HTTP内置认证机制开始。

如何在RESTful客户机-服务器架构中处理身份验证是一个有争议的问题。

通常，在SOA over HTTP世界中，可以通过以下方式实现：

HTTPS上的HTTP基本身份验证；Cookie和会话管理；HTTP报头中的令牌（例如OAuth 2.0+JWT）；使用其他签名参数查询身份验证。

您将不得不调整，甚至更好地混合这些技术，以最好地匹配您的软件架构。

每个身份验证方案都有自己的PRO和CON，这取决于您的安全策略和软件架构的目的。

HTTPS上的HTTP基本身份验证

大多数web服务都使用基于标准HTTPS协议的第一个解决方案。

GET /spec.html HTTP/1.1
Host: www.example.org
Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==

它很容易实现，默认情况下在所有浏览器上都可以使用，但也有一些已知的缺点，比如浏览器上显示的糟糕的身份验证窗口，它将持续存在（这里没有类似LogOut的功能）、服务器端的额外CPU消耗、，以及用户名和密码（通过HTTPS）传输到服务器的事实（在键盘输入期间，只让密码留在客户端，并作为安全散列存储在服务器上，应该更安全）。

我们可以使用摘要式身份验证，但它也需要HTTPS，因为它容易受到MiM或Replay攻击，并且是HTTP特有的。

通过Cookie进行会话

老实说，在服务器上管理的会话并不是真正无状态的。

一种可能是维护cookie内容中的所有数据。而且，根据设计，cookie是在服务器端处理的（事实上，客户端甚至不尝试解释cookie数据：它只是在每次连续请求时将其返回给服务器）。但是这个cookie数据是应用程序状态数据，所以客户端应该在一个纯无状态的世界中管理它，而不是服务器。

GET /spec.html HTTP/1.1
Host: www.example.org
Cookie: theme=light; sessionToken=abc123

cookie技术本身是HTTP链接的，因此它不是真正的RESTful，应该是独立于协议的，IMHO。它容易受到MiM或Replay攻击。

通过令牌（OAuth2）授予

另一种方法是在HTTP标头中放置令牌，以便对请求进行身份验证。例如，OAuth 2.0就是这样做的。请参阅RFC 6749：

 GET /resource/1 HTTP/1.1
 Host: example.com
 Authorization: Bearer mF_9.B5f-4.1JqM

简而言之，这与cookie非常相似，并存在相同的问题：不是无状态的，依赖于HTTP传输细节，并且存在许多安全漏洞，包括MiM和Replay，因此只能通过HTTPS使用。通常，JWT用作令牌。

查询身份验证

查询身份验证包括通过URI上的一些附加参数对每个RESTful请求进行签名。请参阅本参考文章。

在本文中定义如下：

所有REST查询都必须通过签名查询参数进行身份验证按小写字母顺序使用专用凭据排序作为签名令牌。签名应在URL编码查询字符串。

这种技术可能与无状态体系结构更为兼容，也可以通过轻会话管理（使用内存会话而不是DB持久性）来实现。

例如，这里有一个来自上面链接的通用URI示例：

GET /object?apiKey=Qwerty2010

应按如下方式发送：

GET /object?timestamp=1261496500&apiKey=Qwerty2010&signature=abcdef0123456789

要签名的字符串是/object？apikey＝Qwerty2010&timestamp＝1261496500，签名是使用API密钥的私有组件的该字符串的SHA256哈希。

服务器端数据缓存始终可用。例如，在我们的框架中，我们在SQL级别而不是URI级别缓存响应。因此，添加此额外参数不会破坏缓存机制。

有关基于JSON和REST的客户机服务器ORM/SOA/MVC框架中RESTful身份验证的一些详细信息，请参阅本文。由于我们不仅允许通过HTTP/1.1进行通信，而且还允许通过命名管道或GDI消息（本地）进行通信，因此我们尝试实现真正的RESTful身份认证模式，而不依赖HTTP特定性（如标头或cookie）。

稍后注意：在URI中添加签名可能被视为不好的做法（例如，因为它会出现在http服务器日志中），因此必须进行缓解，例如通过适当的TTL来避免重播。但如果你的http日志被破坏，你肯定会有更大的安全问题。

在实践中，即将推出的OAuth 2.0 MAC令牌认证可能是对“令牌授权”当前方案的巨大改进。但这仍然是一项正在进行的工作，与HTTP传输有关。

结论

值得总结的是，REST不仅是基于HTTP的，即使在实践中，它也主要通过HTTP实现。REST可以使用其他通信层。因此，RESTful身份验证不仅仅是HTTP身份验证的同义词，无论谷歌如何回答。它甚至根本不应该使用HTTP机制，而是应该从通信层抽象出来。如果您使用HTTP通信，由于Let's Encrypt倡议，没有理由不使用适当的HTTPS，这是除了任何身份验证方案之外所必需的。