机器对机器 REST 身份验证

Question

如果您在不同的子域（accounts.site.com、training.site.com 等）上运行多个 RESTful Web 服务，当一个服务需要使用另一个服务时，什么是好的身份验证机制？

人工身份验证很简单，因为他们提供登录凭据并取回 JSON Web 令牌，然后随每个请求一起发送以对他们进行身份验证。

具有用户名和密码的机器看起来很奇怪，所以我想知道有哪些行之有效的方法可以解决这个问题？

Answer 1

这取决于...从服务的角度来看，其他服务只是一个 REST 客户端，所以让我们坚持这些术语。

• 如果您想使用您的 REST 客户端访问不同的用户帐户，那么您必须通过服务注册您的客户端，您将获得一个 API 密钥。用户可以授予该 API 密钥的权限，因此您可以在服务用户允许的情况下以服务用户的名义执行操作。
• 另一方面，如果您的客户只想访问自己的帐户，那么它只是该服务的普通用户，并且可以像其他用户一样拥有用户名和密码。