REST 服务如何使用令牌进行身份验证

Question

我浏览过各种解释使用令牌进行身份验证的博客。 但是没有一个站点解释了令牌身份验证在 REST 服务端是如何工作的。 例如：我有一个令牌 T1，它由身份验证服务器提供给我的应用程序。 我将把这个 T1 连同我对 REST 服务 S1 的请求一起发送。那么 S1 将如何知道 T1 来自经过身份验证的客户端呢？ REST服务的请求是否每次都经过认证服务器？

Answer 1

I have a token T1 which is given to my app by the authentication server. I will send this T1 with my request for REST service S1. So how will S1 come to know that T1 is from authenticated client? 

这取决于您在服务器端的身份验证机制的实现。例如，如果您使用 OAuth，它将基于客户端指定的 client_id 和 client_secret。

And does the request for REST services goes through authentication server everytime?

是的，REST 服务应该是无状态的，因此对于每个请求，都会执行一些身份验证逻辑来​​验证令牌（OAuth、自定义等）是否有效。前往身份验证服务器并返回的流程可能不完整，但有一些基于您的安全实施的逻辑。