使用公钥基础结构（其中密钥的注册涉及适当的绑定）可确保公钥以确保不可抵赖的方式绑定到分配给其的个人

看见http://en.wikipedia.org/wiki/Public_key_infrastructure . 如果您遵循正确的PKI标准，可以识别并锁定不正确使用被盗密钥的人或代理。如果要求代理使用证书，则绑定变得非常紧密。一个聪明且行动迅速的小偷可以逃跑，但他们会留下更多的面包屑。

首先也是最重要的，RESTful web服务是无状态的（或者换句话说，无会话的）。因此，RESTful服务没有也不应该包含会话或cookie的概念。在RESTful服务中进行身份验证或授权的方法是使用RFC 2616 HTTP规范中定义的HTTP授权头。每个请求都应该包含HTTP授权头，并且请求应该通过HTTPs（SSL）连接发送。这是在HTTPRESTful web服务中进行身份验证和验证请求授权的正确方法。我已经为Cisco Systems的Cisco PRIME Performance Manager应用程序实现了RESTful web服务。作为web服务的一部分，我还实现了身份验证/授权。

我怀疑那些热情高喊“HTTP认证”的人是否曾尝试过用REST制作基于浏览器的应用程序（而不是机器对机器的web服务）（无意冒犯-我只是认为他们从未面临过复杂的问题）。

我在RESTful服务上使用HTTP身份验证时发现的问题是：

用户通常会收到一个难看的浏览器制作的登录框，这对用户非常不友好。您不能添加密码检索、帮助框等。注销或以其他名称登录是一个问题-浏览器将一直向站点发送身份验证信息，直到您关闭窗口超时很困难

这里有一篇非常有见地的文章，逐点解决了这些问题，但这导致了许多特定于浏览器的javascript黑客、变通方法等。因此，它也不向前兼容，因此在发布新浏览器时需要不断维护。我不认为这是一个干净清晰的设计，而且我觉得这是一项额外的工作，很头疼，因为这样我才能热情地向朋友展示我的REST徽章。

我认为饼干是解决方案。但是等等，饼干是邪恶的，不是吗？不，他们不是，饼干经常被使用的方式是邪恶的。cookie本身只是一条客户端信息，就像您浏览时浏览器会跟踪的HTTP身份验证信息一样。这段客户端信息在每次请求时都会被发送到服务器，就像HTTP身份验证信息一样。从概念上讲，唯一的区别是，这段客户端状态的内容可以由服务器作为其响应的一部分来确定。

通过使用以下规则使会话成为RESTful资源：

会话将密钥映射到用户id（可能还有超时的最后一个操作时间戳）如果会话存在，则意味着密钥有效。登录意味着发布到/会话，新密钥设置为cookie注销意味着删除/会话/｛key｝（要记住，我们是一个浏览器，HTML5还有很长的路要走）通过在每次请求时将密钥作为cookie发送并检查会话是否存在和有效来完成身份验证

现在，与HTTP身份验证的唯一区别是，身份验证密钥由服务器生成，并发送给客户端，客户端继续发送该密钥，而不是客户端根据输入的凭据计算该密钥。

converter42补充道，当使用https（我们应该这样做）时，cookie必须设置其安全标志，这样身份验证信息就不会通过非安全连接发送。说得好，我自己都没看到。

我觉得这是一个足够好的解决方案，但我必须承认，我还不够安全专家来识别这个方案中的潜在漏洞-我所知道的是，数百个非RESTful web应用程序使用基本相同的登录协议（PHP中的$_SESSION，Java EE中的HttpSession等），就像接受语言可以用于访问翻译资源等。我觉得这是一样的，但也许其他人不是这样？你们觉得呢，伙计们？

关于这个话题，这里的好心人已经说得够多了。但这是我的2美分。

有两种交互模式：

人对机器（HTM）机器对机器（MTM）

机器是共同的分母，表示为RESTAPI，参与者/客户端要么是人，要么是机器。

现在，在真正的RESTful架构中，无状态的概念意味着所有相关的应用程序状态（意味着客户端状态）都必须随每个请求一起提供。通过相关，这意味着RESTAPI处理请求和提供适当响应所需的一切。

当我们在人对机器应用程序的上下文中考虑这一点时，正如Skrebel在上面指出的那样，“基于浏览器”，这意味着在浏览器中运行的（web）应用程序将需要将其状态和相关信息及其向后端REST API发出的每个请求一起发送。

考虑一下：您有一个数据/信息平台公开的RESTAPI资产。也许您有一个自助BI平台来处理所有数据立方体。但您希望您的（人类）客户通过（1）web应用程序、（2）移动应用程序和（3）某些第三方应用程序访问此应用程序。最后，即使是MTM链也会导致HTM-right。因此，人类用户仍然处于信息链的顶端。

在前两个案例中，您有一个人机交互的案例，信息实际上是由人类用户使用的。在最后一种情况下，您有一个使用RESTAPI的机器程序。

身份验证的概念适用于所有领域。您将如何设计它，以便以统一、安全的方式访问REST API？在我看来，有两种方式：

途径1：

首先，没有登录。每个请求都执行登录客户端发送其标识参数+特定请求每个请求的参数REST API接收它们，转身，ping用户存储（无论是什么）并确认授权如果建立了身份验证，则为请求提供服务；否则，拒绝具有适当的HTTP状态代码对所有REST API中的每个请求重复上述步骤目录

路线-2：

客户端以身份验证请求开始登录REST API将处理所有此类请求它接受auth参数（API密钥、uid/pwd或任何您select），并根据用户存储（LDAP、AD或MySQL DB等）验证身份验证如果已验证，则创建一个身份验证令牌并将其交还给客户/呼叫方然后，调用者将此身份验证令牌+请求特定参数与对其他业务REST API的每个后续请求，直到注销或租约到期

显然，在Way-2中，RESTAPI需要一种方法来识别和信任令牌的有效性。Login API执行了身份验证，因此，目录中的其他REST API需要信任“代客密钥”。

当然，这意味着需要在RESTAPI之间存储和共享身份验证密钥/令牌。这个共享的、可信的令牌存储库可以是本地/联合的，允许其他组织的REST API相互信任。

但我跑题了。

关键是，需要维护和共享一个“状态”（关于客户端的身份验证状态），以便所有RESTAPI都能创建一个信任圈。如果我们不这样做，即Way-1，我们必须接受必须对任何/所有传入的请求执行身份验证。

执行身份验证是一个资源密集型过程。想象一下，针对每个传入的请求，对用户存储执行SQL查询，以检查uid/pwd匹配。或者，加密并执行哈希匹配（AWS风格）。在架构上，我怀疑每个RESTAPI都需要使用一个通用的后端登录服务来执行此操作。因为，如果你不这样做，那么你就会到处乱扔授权码。一团糟。

所以层数越多，延迟就越大。

现在，选择Way-1并向HTM申请。您的（人类）用户真的关心您是否必须在每个请求中发送uid/pwd/hash或其他内容吗？不，只要你不打扰她，每秒都会抛出auth/login页面。如果你这样做的话，祝你有客户。所以，你要做的是将登录信息存储在客户端的某个位置，在浏览器中，一开始就存储，并随每个请求一起发送。对于（人类）用户，她已经登录，并且“会话”可用。但事实上，她的每一个请求都经过了认证。

与路线2相同。你的（人类）用户永远不会注意到。所以没有造成伤害。

如果我们将Way-1应用于MTM怎么办？在这种情况下，由于它是一台机器，我们可以要求它在每次请求时都提交身份验证信息，从而让这个家伙见鬼去。没人在乎！在MTM上执行Way-2不会引起任何特殊反应；这是一台该死的机器。它可以不在乎！

所以，问题是什么适合你的需要。无国籍需要付出代价。付出代价，继续前进。如果你想成为一个纯粹主义者，那么也要为此付出代价，然后继续前进。

最终，哲学无关紧要。真正重要的是信息发现、展示和消费体验。如果人们喜欢你的API，你就做好了自己的工作。

老实说，我在这里看到了很好的答案，但让我有点困扰的是，当有人将整个无状态概念推向极端，使其变得教条化时。这让我想起了那些只想拥抱纯OO的Smalltalk老粉丝，如果某个东西不是对象，那么你就错了。放过我

RESTful方法应该让你的生活更轻松，减少会议的开销和成本，尽量遵循它，因为这是一件明智的事情，但一旦你遵循一个纪律（任何纪律/准则）到了极致，它不再提供其预期的好处，那么你就错了。当今一些最好的语言同时具备函数式编程和面向对象。

如果解决问题的最简单方法是将身份验证密钥存储在cookie中并通过HTTP标头发送，那么就这样做吧，不要滥用它。请记住，当会话变得沉重和庞大时，会话是不好的，如果所有会话都由一个包含密钥的短字符串组成，那么有什么大不了的？

我愿意接受评论中的更正，但我只是认为（到目前为止）避免在我们的服务器中保存一本大字典的哈希值，这没有什么意义。

2019年2月16日更新

下面前面提到的方法本质上是OAuth2.0的“资源所有者密码凭据”授予类型。这是一种简单的起床和跑步方式。然而，使用这种方法，组织中的每个应用程序最终都将拥有自己的身份验证和授权机制。建议采用“授权代码”授权类型。此外，在下面我先前的回答中，我建议使用浏览器localStorage来存储身份验证令牌。然而，我开始相信饼干是实现这一目的的正确选择。在StackOverflow的回答中，我详细介绍了我的原因、授权代码授予类型实现方法、安全考虑等。

我认为以下方法可用于REST服务身份验证：

创建一个登录RESTful API以接受用户名和密码进行身份验证。使用HTTP POST方法在传输过程中防止缓存和SSL安全成功认证后，API返回两个JWT-一个访问令牌（有效期更短，例如30分钟）和一个刷新令牌（有效性更长，例如24小时）客户端（一个基于web的UI）将JWT存储在本地存储中，并且在随后的每个API调用中都会传递“Authorization：Bearer#access token”标头中的访问令牌API通过验证签名和到期日期来检查令牌的有效性。如果令牌有效，请检查用户（它将JWT中的“sub”声明解释为用户名）是否可以通过缓存查找访问API。如果用户被授权访问API，则执行业务逻辑如果令牌过期，API将返回HTTP响应代码400客户端在收到400/401时，调用另一个REST API，并在“Authorization：Bearer#refresh token”标头中使用刷新令牌来获取新的访问令牌。收到带有刷新令牌的呼叫时，通过检查签名和到期日期来检查刷新令牌是否有效。如果刷新令牌有效，则从DB刷新用户的访问权限缓存，并返回新的访问令牌和刷新令牌。如果刷新令牌无效，则返回HTTP响应代码400如果返回了新的访问令牌和刷新令牌，请转到步骤2。如果返回HTTP响应代码400，则客户端假定刷新令牌已过期，并向用户请求用户名和密码要注销，请清除本地存储

使用这种方法，我们每30分钟就要执行一次昂贵的操作，即加载具有用户特定访问权限详细信息的缓存。因此，如果取消了访问或授予了新的访问权限，则需要30分钟才能反映或注销，然后登录。