REST本身没有提供安全标准，但OAuth和SAML等东西正在迅速成为这个领域的标准。然而，身份验证和授权只是您需要考虑的一小部分。与web应用程序相关的许多已知漏洞非常适用于REST API。你必须考虑输入验证、会话破解、不适当的错误消息、内部员工漏洞等等。这是一个很大的问题。

正如twitt所说，AmazonS3是一个很好的模型。它们的请求签名确实具有一些特性（如包含时间戳），有助于防止意外和恶意请求重放。

HTTP Basic的优点是几乎所有的HTTP库都支持它。当然，在这种情况下，您需要使用SSL，因为通过网络发送明文密码几乎是一件普遍的坏事。使用SSL时，Basic比Digest更好，因为即使调用方已经知道需要凭据，Digest也需要额外的往返来交换nonce值。使用Basic，调用者只需在第一次发送凭证。

一旦确定了客户机的身份，授权实际上只是一个实现问题。但是，您可以将授权委托给具有现有授权模型的其他组件。同样，Basic的好处是，您的服务器最终提供了客户端密码的明文副本，您可以根据需要将其传递给基础架构中的另一个组件。

这已经有一段时间了，但这个问题仍然相关，尽管答案可能有点改变。

API网关将是一个灵活且高度可配置的解决方案。我测试并使用了KONG，非常喜欢我所看到的。KONG提供了自己的管理REST API，您可以使用它来管理用户。

Express-gateway.io是最新的，也是一个API网关。

我有点惊讶的是，还没有提到带有客户端证书的SSL。当然，只有当您能够依靠证书识别用户群体时，这种方法才真正有用。但许多政府/公司确实向其用户发放了这些证书。用户不必担心创建另一个用户名/密码组合，并且在每个连接上都建立了身份，因此与服务器的通信可以完全无状态，不需要用户会话。（并非意味着所提及的任何/所有其他解决方案都需要会议）

我想添加（与臭马特一致），最简单的解决方案是将SSL证书添加到您的站点。换句话说，确保您的url是HTTPS://。这将保障你的交通安全（一掷千金）。使用RESTfulurl，想法是保持它的简单性（不像WS*security/SAML），您可以使用oAuth2/openID连接，甚至可以使用Basic Auth（在简单的情况下）。但您仍然需要SSL/HTTPS。请在此处检查ASP.NET Web API 2安全性：http://www.asp.net/web-api/overview/security（文章和视频）

这些答案中的每个人都忽略了真正的访问控制/授权。

例如，如果您的RESTAPI/web服务是关于发布/获取病历的，那么您可能需要定义访问控制策略，以确定谁可以访问数据以及在什么情况下访问数据。例如：

医生可以获取与他们有护理关系的患者的病历任何人都不能在练习时间之外（例如9到5）发布医疗数据最终用户可以获得他们拥有的病历或他们作为监护人的患者的病历护士可以更新与护士属于同一单位的患者的病历。

为了定义和实现这些细粒度授权，您需要使用一种基于属性的访问控制语言XACML，即可扩展访问控制标记语言。

其他标准如下：

OAuth:id。联合和授权委托，例如让一个服务代表我的另一个服务（Facebook可以发布到我的Twitter）SAML：身份联合/web SSO。SAML非常关注用户是谁。WS-Security/WS-*标准：这些标准关注SOAP服务之间的通信。它们特定于应用程序级消息传递格式（SOAP），它们处理消息传递的各个方面，例如可靠性、安全性、机密性、完整性、原子性、事件。。。没有一个涉及访问控制，所有都是特定于SOAP的。

XACML是技术不可知的。它可以应用于java应用程序、.NET、Python、Ruby。。。web服务、REST API等。

以下是有趣的资源：

OASIS XACML网站NIST ABAC标准