28、深入探索API认证、HTTP扩展及资源描述技术

深入探索API认证、HTTP扩展及资源描述技术

1. OAuth认证机制

OAuth在API安全认证方面扮演着重要角色。OAuth 1.0有其独特的优势和不足：
- API提供商的权限 ：若API提供商发现某个客户端软件行为异常，可撤销其客户端凭证（即 oauth_consumer_key ），这意味着API将停止为该客户端的所有副本提供服务。
- 安全性 ：与HTTP Basic不同，OAuth 1.0（类似HTTP Digest）可在不安全的HTTP上使用而不泄露用户凭证。令牌凭证用于创建 Authorization 头的 oauth_signature 部分，但凭证不会实际出现在该头中，服务器可验证请求是否由用户凭证签名，而窃听者无法得知凭证内容。
- 防止重放攻击 ： Authorization 头中的 oauth_timestamp 和 oauth_nonce 值可防止“重放攻击”，攻击者无法通过监听请求并重复发送来冒充用户。

然而，OAuth 1.0也存在一些局限性：
- 桌面应用场景 ：当用户使用桌面应用时，需要临时切换到Web浏览器。桌面应用会打开一个新的浏览器窗口指向认证页面，认证完成后，无法将用户重定向回桌面应用，桌面应用需不断询问服务器用户是否授权临时凭证。
- 其他场景