Аутентификация в веб-службе RESTful

Question

Я создаю спокойный веб-сервис на основе Spring. Я использую Spring Security. Доступ к нему будут доступны только для настольных приложений. В основном это веб-сервис от машины к машине.

• Я хочу, чтобы пользовательская служба выполняла аутентификацию. Затем выполните другие, более чувствительные операции, основанные на результате проверки подлинности.

• Другой вариант - отправить учетные данные в теле каждого запроса и в основном выполнять аутентификацию каждый раз.

Логика говорит о том, что первый подход будет наиболее эффективным, потому что есть довольно много накладных расходов в аутентичности каждый и каждый раз.

Что вы предлагаете, связанные с этим? Пойти без гражданства или состояния? Существуют ли серьезные недостатки для подхода, основанного на учете состояния здоровья?

До этого момента я прочитал несколько глав от Java Web Services Up and Running , а также несколько вопросов от SO, таких как this.

Answer 1

В остальном способ сделать это, как указано в ссылках, вы предоставляете для проверки подлинности при каждом запросе, а не держать сессий.

Что касается аутентификации с использованием имени пользователя и пароля по каждому запросу, он безопасен, если вы можете использовать ... защищенный слой (https); Кроме того, пара отправляется в ясном тексте и обнаруживается.

Другим вариантом является использование чего-то типа AWS для этого (ссылки на Amazon here и here, например). Здесь для других объяснений: buzzmedia и samritchie

Возможно, OAuth - это вариант, но у меня нет опыта с ним.

Answer 2

Для начала REST службы (Client - Server) Я настоятельно рекомендую вам использовать Restlet

Аутентификация в этой службы REST может быть определена с помощью ClientResource. Пример:

private static ClientResource getClientResource(String uri) { 
ClientResource clientResource = new ClientResource(uri); 
clientResource.setChallengeResponse(ChallengeScheme.HTTP_BASIC, 
     "username", "password" 
     ); 
return clientResource; 
}