RESTful API安全

RESTful API

1、对客户端做身份认证 

HTTP Basic身份认证安全性较低，必须与HTTPS配合使用。

HTTP Digest身份认证可以单独使用，具备中等程度的安全性。

这类基于简单用户名+密码机制的安全性不可能高于基于非对称密钥的机制（例如数字证书）

使用OAuth协议做身份认证

2.对敏感的数据做加密，并且防止篡改，常见的做法有：

部署SSL基础设施（即HTTPS），敏感数据的传输全部基于SSL。  
仅对部分敏感数据做加密（例如预付费卡的卡号+密码），并加入某种随机数作为加密盐，以防范数据被篡改。

3、如何对RESTful API进行版本控制

一个比较简单实用的做法是直接在URI中插入版本号，这样做允许多个版本的API并行运行。

另一个做法是在HTTP请求中加入自定义头信息，标明使用的版本号。不过这个做法其实对浏览器不够友好，简单地使用浏览器+HTML无法测试。

个人认为最好的版本化，就是没有明显的版本。在对已发布的服务进行变更时，要尽量做到兼容

 

4、JAX-RS 2.0规范对于RSTfulAPI的设计最有价值的特性

a) Client API——用来规范化JAX-RS客户端的开发方式。 
b) Server-side Asynchronous HTTP——用来实现服务器端推送功能，而不需要依靠低效的轮询方式。 
c) Filters and Interceptors——用来分离关注点，将鉴权、日志等逻辑与业务逻辑分离开，更好地实现代码重用。

这三部分的内容对于开发者来说都很有用。遵循JAX-RS规范做开发，可以确保服务器端以及客户端代码的可移植性。