使用我的网站 API 对用户进行身份验证答案

【问题标题】：Authentication for Users using my Website API使用我的网站 API 对用户进行身份验证
【发布时间】：2012-06-28 23:34:08
【问题描述】：

我正在努力了解如何在我正在创建的网站 API 中实现安全性。让我解释一下我的应用程序的设计。

我正在编写一个在线发票应用程序，以允许用户创建、存储和发送发票。该应用程序分为两部分，用户输入和查看发票等的前端......以及处理网站所有处理的后端（保存，更新数据等......）

我坚持的是如何为我的网站实施某种安全措施，以便用户输入用户名和密码，然后在后端进行身份验证，后端将知道与哪个用户交谈它（希望这是有道理的）

前端通过 RESTful API 与后端通信，但是当前端向 API 发送请求时，后端如何知道用户是谁以及是否允许用户访问 API。

我的前端是使用 Backbone.js 编写的，并使用 JSON 与后端 API 通信。后端是用 CakePHP 编写的

【问题讨论】：

【解决方案1】：

那里有几种 API 身份验证模式，您可以在此处阅读更多信息 https://support.3scale.net/howtos/api-configuration/authentication-patterns，特别是“标准身份验证模式”部分

你基本上必须给用户一个秘密令牌，然后在 API 调用请求将该令牌发送到后端，这样你就可以关联两端的用户

如果您像我一样想要省去所有实施的麻烦，您可以使用 3scale 免费帐户 (http://www.3scale.net) 为您管理身份验证，这样您甚至可以进行访问控制、API 调用限制等。在此处查找更多详细信息：http://www.3scale.net/2012/06/the-10-minute-api-up-running-3scale-grape-heroku-api-10-minutes/

该示例使用 ruby 插件，但 GH github.com/3scale/3scale_ws_api_for_php 中也提供了一个 php 插件

【讨论】：