Protezione di un'API di riposo con un client

Question

Protezione di un'API di riposo con un client

#1 da (2 voti)
#2 da (0 voti)
#3 da (0 voti)

1

Sto per sviluppare un'API REST che avrà un solo "utente" e sono curioso di sapere come implementare la sicurezza per renderla il più sicura possibile (sperando di implementare un protocollo che non conosco attualmente).

Quindi inizialmente pensavo di implementare la connessione openID, tuttavia ritengo che ciò non sia possibile in quanto l'unico utente è un'API che dovrebbe essere in grado di accedere alle mie risorse protette senza l'intervento dell'utente.

Suppongo che la domanda sia: esiste un protocollo di sicurezza standardizzato per questo tipo di casi, o tutti semplicemente "seguono il flusso" e implementano qualsiasi cosa funzioni?

api rest authentication oauth protocols

posta munHunger 27.06.2017 - 15:03

fonte

3 risposte

0

Puoi utilizzare l'autenticazione X.509 e fare affidamento sull'autenticazione reciproca (il server ti autentica e tu autentica il server).

risposta data 27.06.2017 - 15:25

fonte

0

Anche se questa domanda ha avuto risposta, il flusso delle credenziali del client OpenID Connect è un modo perfetto per proteggere la tua API con una chiave. Questo flusso è specificamente pensato per i clienti che non sono effettivamente utenti, come API e altri processi di sistema, e non richiede alcun intervento da parte dell'utente. Ciò consente di espandersi facilmente a più clienti, ciascuno con le proprie chiavi e autorizzazioni di accesso esclusive, oltre a consentire all'utente di mescolare utenti umani regolari se e quando ciò si renda necessario.

risposta data 06.07.2017 - 13:49

fonte

Leggi altre domande sui tag api rest authentication oauth protocols

Quando estendere PCR [chiuso] Estrema dimensione delle dimensioni del buffer

score 2 · Accepted Answer

Per esperienza personale, potrebbe essere più semplice implementare una chiave di volta con una chiave che invii solo a un utente, contro l'utilizzo del metodo di autenticazione nome utente / password, a parte il fatto che non sono sicuro di cos'altro avresti preoccuparsi di. Forse c'è un modo per combinare entrambi i modi, ma le API sono solitamente configurate in modo che più client possano sfruttare la funzionalità, quindi una chiave potrebbe essere il modo più semplice per limitarla a un singolo utente.