Ora è comune utilizzare una chiave API per identificare un agente quando si ha a che fare con un'API. Quali sono i vantaggi di farlo utilizzando un nome utente specificato dallo sviluppatore? È semplicemente che la chiave API è più difficile da indovinare o esiste una ragione più profonda?
Posso pensare a una serie di motivi per cui potresti usare una chiave:
antony e la mia chiave API è antony , ottimo, sei a metà strada per entrare. Tuttavia, se la mia chiave API è qualcosa di casuale, diventa molto più difficile (vedi punto 1). Questo elenco probabilmente non è esaustivo.
Come altri hanno dichiarato di creare un ID univoco per ciascun utente.
Ma per AWS in particolare , l'autenticazione della richiesta, identifica l'elementoAWSAccessKeyId la chiave segreta che è stata utilizzata per calcolare la firma e (indirettamente) lo sviluppatore che ha effettuato la richiesta. "
Nella maggior parte dei sistemi che ho visto, le chiavi API non agiscono semplicemente come mezzo di identificazione. Di solito raddoppiano come mezzo di autenticazione.
Lo sviluppatore non sta digitando la chiave API per ogni sua richiesta. La chiave verrà probabilmente memorizzata nel codice o in un file di configurazione da qualche parte. Non ha senso consentire allo sviluppatore di scegliere un nome utente e una password memorizzabili su una chiave API casuale.
La chiave API è semplicemente per identificare quale servizio sta facendo la richiesta. Non so che ci sia una ragione particolare per loro di essere il modo in cui sono diversi dal fatto che è più semplice distribuire chiavi casuali piuttosto che nomi utente poiché è tutto gestito da computer ed evita problemi di persone che vogliono lo stesso nome utente.
Forse potrebbero anche esserci casi in cui il nome utente potrebbe essere scelto per essere ingannevole. Non sono sicuro di quanto sarebbe efficace visto che non è qualcosa che l'utente medio vedrebbe e spero che un utente più esperto non si innamori di esso, ma se potessi rendere il tuo nome utente Facebook "FacebookAdmin" non sarebbe essere particolarmente bravo.
Leggi altre domande sui tag rest authentication key-management