【RESTful API】RESTful API的身份验证与权限控制_restful风格用户权限-优快云博客

本文链接：https://blog.youkuaiyun.com/weixin_52553215/article/details/134335095

本文详细介绍了RESTful API的身份验证方法，包括HTTP基本认证、令牌认证（Bearer authentication）、Token认证（JWT）、OAuth 2.0授权机制、API密钥认证以及OpenID Connect。其中，JWT和OAuth 2.0提供了较高的安全性，而基本认证和API密钥认证的安全性相对较低。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

参考：

如何在PHP中实现RESTful API的身份验证-php教程-PHP中文网

什么是 RESTful API 身份验证方法 - PingCode

【精选】RESTFUL API API身份认证_c# restful api预验证_终生成长者的博客-优快云博客

浅谈 REST API 身份验证的四种方法-腾讯云开发者社区-腾讯云

如何使用 RESTful API 实现用户认证和授权？-JavaScript中文网-JavaScript教程资源分享门户

--------------------------------------------------------------------------------------------------------------------------

RESTful API是一种常用的互联网应用程序接口设计风格。在实际开发中，为了保护API的安全性，我们通常需要对用户进行身份验证，不然所有人都能请求你的接口，会带来严重的后果。

RESTful 服务客户端必须向服务器证明其身份才能确立信任。RESTful Web 服务必须首先对请求进行身份验证，然后才能发送响应。

一、HTTP 身份验证

HTTP身份认证方案一共有10种，目前最常用的就是前两种：

基本认证
令牌认证

1.1 基本认证（Basic Authentication）

基本认证是最简单的一种身份验证方式。

基本认证的原理是通过在HTTP请求头部添加一个Authorization字段来传递用户凭证。例如，客户端在请求头中发送用户名和密码，其使用 base64 编码进行安全传输。

例如：
Authorization: Basic fasgfkaskjg8798f=

我们可以通过获取HTTP请求头部信息来实现基本认证。

安全等级：差

1.2令牌认证（Bearer authentication）

令牌认证（常用），也称为承载认证，就是准确的说应该是“Bearer authentication”，Bearer意思就是承载的意思，那么令牌认证可以理解为承载有权访问某资源的令牌。

这个令牌你就当做是古代的城池令牌，比如你是一个战士，你想调用兵力，必须持有某某令牌，每个令牌的权利范围不一样，令牌由朝廷统一发放。

在这里我们可以看出令牌认证有以下特点：

令牌的权限可控（不同令牌权限不一样）
令牌由服务端生成（朝廷）

它通常是由服务器响应某个登录请求而生成的。
在向受保护的资源发出请求时，客户端必须在认证的header中发送该令牌。

令牌认证举例：
Authorization: Bearer WmLkiNzaZuR5aas4m+FE429wWpo=

承载认证方案最初是作为RFC-6750中OAuth 2.0的一部分被创建的。不过，有时它也会被单独地使用到。

与基本身份验证类似，承载身份验证需要通过HTTPS(即SSL)来实现。

二、Token认证（Token Authentication）

token是“令牌”的意思，里面包含了用于认证的信息。Token认证是一种常见的身份验证方式。

1. 在第一次登录认证后为用户生成一个唯一的有一定有效期的 Token。
2. 服务器会将这个 token 用文件、数据库或缓存服务器等方法存下来，用于之后请求中的比对，并将该Token返回给客户端。
3. 客户端将其存储于浏览器的 Cookie 或 LocalStorage 之中，之后客户端的每次请求都需要在HTTP头部中添加一个Authorization字段，用于传递Token信息。

2.1 JWT

我们可以使用JSON Web Token（JWT）来实现Token认证。

2.1.1 JWT组成

在JWT中，Token有三部分组成（header、payload有效载荷、signature签名），中间用.隔开，并使用Base64编码。

下面是JWT中一个Token的示例：
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpYXQiOjE1MjgwMTY5MjIsImlkIjowLCJuYmYiOjE1MjgwMTY5MjIsInVzZXJuYW1lIjoiYWRtaW4ifQ.LjxrK9DuAwAzUD8-9v43NzWBN7HXsSLfebw92DKd1JQ

(1) header

JWT Token 的 header 中，包含两部分信息：
1. Token 的类
2. Token 所使用的加密算法

例如：
{
“typ”: “JWT”,
“alg”: “HS256”
}
该例子说明Token类型是JWT，加密算法是HS256。

(2) payload有效载荷

Payload中携带Token的具体内容，里面有一些标准的字段，当然你也可以添加额外的字段，来表达更丰富的信息，比如记录请求用户名。

标准字段有：
iss：JWT Token 的签发者
sub：主题
exp：JWT Token 过期时间
aud：接收 JWT Token 的一方
iat：JWT Token 签发时间
nbf：JWT Token 生效时间
jti：JWT Token ID

例如：
{
“id”: 2,
“username”: “kong”,
“nbf”: 1527931805,
“iat”: 1527931805
}

(3) signature签名

Signature通过如下方式生成：
1.用Base64对header.payload进行编码
2.用Secret对编码后内容进行加密，加密后内容即为Signature

Secret 相当于一个密码，存储在服务端，一般通过配置文件来配置 Secret 的值。

签名后服务端会返回生成的 Token，客户端下次请求会携带该 Token，服务端收到 Token 后会解析出 header.payload，然后用相同的加密算法和密码对 header.payload 再进行一次加密，并对比加密后的 Token 和收到的 Token 是否相同，如果相同则验证通过，不相同则返回 HTTP 401 Unauthorized 的错误。